Webメールサービスの「リマインダー」機能は脆弱？

insiderman 曰く、

Computerworldで、GmailやWindows Live Hotmail、そして米Yahoo! Mailの「リマインダー機能」を使えば、比較的容易にパスワードを再設定できてしまう、という記事が掲載されている（日本語記事）。

これらのWebメールサービスでは、パスワードを忘れてしまった際にアカウントとユーザー名、そしてあらかじめ設定しておいた「プライベートな質問」に回答することで、その場でパスワードのリセットと変更ができてしまうそうだ。そしてこのような「プライベートな質問」の回答は、SNSサイトやWeb検索などで簡単に見つけられる可能性があるという。

先日、米国で共和党副大統領候補ペイリン氏のYahoo! Mailアカウントがクラックされる事件があったが、クラッカーはこのような手口で「プライベートな質問」の回答を探し出して、アカウントにアクセスしたと主張しており、要した時間はわずか45分だったそうだ。

このような機構を設けているシステムはWebメールサービスに限らずたくさんあるが、確かに安全を考えると、（/.Jのように）ユーザーの登録アドレスに新しいテンポラリなパスワードを送る方式が確実だと言える。また、「プライベートな質問」の回答には、誰もが知り得るような情報を設定しない、というのも徹底しておきたいところだ。

ペイリン氏が狙われた理由

[SassyOS2 (8523)]

『副大統領候補ペイリン氏のYahoo!アカウントがハッキング被害、メールなどが漏洩』 [computerworld.jp]によると、ミス・アラスカで2位にだったとか副大統領候補だから狙われたというわけではないようだ。

Wikileaksは、匿名で漏洩文書などを公表できるサイトである。掲載されたペイリン氏の情報には、次のような注記が付けられていた。
　「アラスカ州知事のペイリン氏は、私用の電子メール・アカウントを仕事で使用し、情報公開法の適用を免れているとの批判を受けている。メールのリストやアカウント名は、こうした批判をさらに強めると思われる」

クラックする正当な理由とはなりえないが、ペイリン氏自身にも落ち度があったのは言うまでもない。

VP contender Sarah Palin hacked [wikileaks.org]

# Crack時のスクリーンショットでFirefox 3なんか使うなよと思ったID

にわとりたまご

[Anonymous Coward]

＞ユーザーの登録アドレスに新しいテンポラリなパスワードを送る方式
Webメールを使うのにメールが必要だなんて！

Re:

[Anonymous Coward]

登録に国民番号が必要とかよりはましでしょ。

Re:

[Anonymous Coward]

ないから取るって人はどうしたらいいんだ！

最近はメールアドレスやサーバースペースを提供せず
接続サービスしかないISPだって増えてるのに。

Re:

[Anonymous Coward]

>ないから取るって人はどうしたらいいんだ！

住所くらいあるでしょ?

#メールと言えばUメール。

く、悔しくなんかないんだからねっ

[Anonymous Coward]

パソコンでサービス利用するのに携帯が必要なmixiよりマシ。

＃未だに恨んでいるのでAC

リマインダの脆弱性

[Anonymous Coward]

自分以外が知りえない情報をリマインダにしたところで、言葉で書いてしまったらランダムな
文字列のパスワードより脆弱ですよね。

ちなみにGmailは、一定期間アクセスが無かった場合のみにリマインダ機能が有効になるような
仕様になっていたので、アクティブなアカウントなら安全だったはずです。

金は掛かるけど確実

[Flandr (36950)]

新しいパスワードが書かれたカードを郵送する。何回も忘れたら料金を取る。 パスワードを簡単に忘れるようなヘマもしなくなる。

Re:

[Anonymous Coward]

先生！確実なのはユーザがいなくなることだと思います！

# 独占サービスならそれで良いかも。

Re:

[Anonymous Coward]

学生が校内で使うときのパスワードを忘れたときはどうしましょうか？

Re:金は掛かるけど確実

[wildcard (416)]

>学生が校内で使うときのパスワードを忘れた
学生証もって学生課なり学務課なり計算機センターなりに出頭。それ以外に何がある？

Re:金は掛かるけど確実

[firewheel (31280)]

>>学生が校内で使うときのパスワードを忘れた
>学生証もって学生課なり学務課なり計算機センターなりに出頭。それ以外に何がある？
学生証って偽造対策が十分とは言えない場合がありますからね。
出頭した人間が本人だと推定するのは危険かも。

他に学生証の再発行のシステムに弱点があるかも知れない。
１、紛失したため再発行を学生課に申請
２、再発行された学生証を持って計算機センターにパスワード再発行を申請
みたいな感じでクリアできるかもしれない。
＃似たような手口で、住民票などが勝手に移される犯罪も行われてるらしい。
＃お役所のセキュリティなんて大甘だからね。

もちろん上記の場合でも計算機センターなりに個人を特定する情報が保存して
あるとか、そこの担当者が出頭した本人と個人的に面識があり、学生証によら
ない本人確認が十分に可能というのならそれでもいいんだけど。

Re:金は掛かるけど確実(オフトピ)

[nemui4 (20313)]

出頭した「本人」が「人間」だと推定するのは危険かも。

と空目した。

Re:

[Anonymous Coward]

学生証にアカウント名と初期パスワードが印刷されているのでパスワードさえ変えなければ心配ありません。（実話）

本気でマズイんじゃないかと思うのでAC

Re:

[Anonymous Coward]

それって、たかだかWebメールを使うのに、現住所と本名を教えなければならない、ということでしょうか。

こういっちゃなんだけど

[gnaka (17369)]

リマインダー使う設計にするなんて、私は技術者として無能ですと言ってるようなものですよねえ。

リマインダの強制

[Anonymous Coward]

サインアップするときに、「秘密の質問」を強制するサイトが多々あるのですが、やめて欲しい。
この記事見る以前から、「母親の旧姓」「ペットの名前」なんて、他人にも知られる可能性大だろ、
と思い、必ず質問とは無関係なランダム文字列を入れることにしていたのですが。
リマインダを設定しない、というオプションを用意して欲しい。

Re:リマインダの強制

[Anonymous Coward]

リマインダって第二パスワード程度としか思ってなかったから
質問項目に準じた内容を入れたことは無いなぁ。

そう思っておけばその手のサイトが有っても別に大したことは無い。

Re:リマインダの強制

[Anonymous Coward]

ありがちな詐欺や勧誘に引っ掛かる人が
問題なのですよ
ヒネてる方はハナから話題外

Re:

[Anonymous Coward]

元の発言者の違和感に限った話であって、その手の拡大した一般論はまた別の話。
スレの流れを読もう。

Re:リマインダの強制

[kawauso (5796)]

私もそうです。類推できる答えを入れる気にならないです。 しかし上でも話してますが、その場合質問にどれを選んだかなども 覚えておかないといけないので、手間ですね……

リマインダーを使わない、というオプションをつけると、 パスワードを忘れる人への対応の手間は増えるでしょうが、 できるだけ、そのように作って欲しいです。

Re:

[Anonymous Coward]

> リマインダって第二パスワード程度としか思ってなかったから
> 質問項目に準じた内容を入れたことは無いなぁ。

そうやって，何を入れたか忘れるのですね。

＃実は自分のことなのでAC
＃あのサイトのパスワードと合言葉はなんだったかなぁ

Re:

[Anonymous Coward]

で、そのランダムな文字列(って結局パスワードになっちゃう訳で)を忘れることも多々、
なのでリマインダを要求されるサービスのアカウント登録はできるだけしないようにしてます。

リマインダの問題については大人と比べてより質問の答えが想像しやすい子供向けのサービスについて
昔高木大先生が何か書いていたような。

Re:

[Anonymous Coward]

国立教育政策研究所教育研究情報センターの件 [takagi-hiromitsu.jp] ですね。
今も変わってないのかな。

Re:

[Anonymous Coward]

ソニー銀行がリマインダを3個も登録させるんで困ってます。
ここは質問を自分で設定できるだけ他所に比べてまだマシなんですが、
それでも何かお金の移動を行うようなことをするたびにこのリマインダーを
聞いてくるので急いでいるときにはイライラするんですよね。
口座の4桁の暗証番号に、決済用の5桁の暗証番号にリマインダー3個で
合計5個のパスワードを暗記して、酷いときには内4つを正確に入力させられる
仕様です。

リマインダー自体の安全性についてはjbeef先生が過去に検証されておられま
したが、今だにリマインダーって減りませんね。
SI屋やコンサルってのがあまり勉強してないんだなと思います。

プライベートすぎる回答にすればＯＫ

[Anonymous Coward]

ペットの名前＝自分にとってペットみたいなもんだと思っている周囲の人間の名前

これで大抵大丈夫。心の中を覗かれない限り。

##ところで/.Jでhttpsなログインって出来ないんですか？
##未だにアカウント作る気になれないAC。

Re:プライベートすぎる回答にすればＯＫ

[tia (12881)]

>これで大抵大丈夫。心の中を覗かれない限り。
送信した時点では"心の中"以外にも情報が存在するので、それを取得される可能性があります。
例えばサイト運営者はその情報を知ることができる可能性があります。
そのため少なくとも同一の回答を他サイトで使うことはリスクになります。
また回答の傾向を知られることもリスクになり得ます。

> プライベートすぎる回答にすればＯＫ
"プライベートすぎる回答"を他者(サイト運営者等)に伝達する事自体がリスクとなる可能性にも留意する必要があります。

Re:プライベートすぎる回答にすればＯＫ

[n_ayase (36873)]

せめて「リマインダー」の質問も自分で入力できるようになっていないと危険なことこの上ないですね。 選択肢しか用意されていないサイトは私もできるだけ避けるようにしています。サイトから情報が漏洩したら完全にアウトですし。

ちょうど、こんな事件 [itmedia.co.jp]も。

そのIPアドレスからヤフオクに対し、約150万件の文字列を使って数秒に1回の頻度でログインが試みられており、そのうち約4.3％（約6万5000）の文字列がYahoo！のIDと合致していた。パスワードは「1～2回のトライで合致していたものが多く、ログイン可能な確率は高かった」（同社広報部）という。
150万の文字列の9割以上がYahoo！IDと合致せず、「-」「.」などYahoo！IDで利用できない記号が含まれたIDもあったため、同社からIDやパスワードがもれた可能性はないとしている。同社は「他社サービスのIDリストがもれ、他社サービスと同じIDやパスワードを利用しているユーザーが被害にあったのではないか」と推測している。

# そうでなくても規定の項目しかないリマインダーだと、辞書攻撃にはめっぽう弱そうな気もしますが・・・。
# 「好きな歴史上の人物」とか「(父親|母親)の出生地」なんていう項目は辞書攻撃であっさり破れそうな気がしますし。

--
神社でC#.NET

Re:プライベートすぎる回答にすればＯＫ

[Anonymous Coward]

質問文をローカルに保存してある鍵で暗号化したものを答えにするとかどうだろう

Re:プライベートすぎる回答にすればＯＫ

[Anonymous Coward]

>ペットの名前＝自分にとってペットみたいなもんだと思っている周囲の人間の名前
いきなり「いつみ」という単語が浮かんだオレは、かなりアレ [maid.ne.jp]に毒されてる気がする。

ちなみにコレ [maid.ne.jp]は参考になるのだろうか、ならないのだろうか。
#これだと予測は付かないけど、ねえ？

質問とかみ合ってない回答にすればＯＫ

[Anonymous Coward]

犬の名前は＝タマ
母親の旧姓は＝○○(回答は父方の親戚の名字)
出身小学校は＝○○高校
1年生の時の担任＝○○(回答は3年生)

# 空気読まないスキルが要求されるぜ
# パスワードなみに秘密の質問の作成も大変なもんだ

Re:質問とかみ合ってない回答にすればＯＫ

[unchikun (14429)]

私もこんな感じにしています。

でも、他の人のコメントみると「母親の旧姓」などの質問に対して
馬鹿正直に入れてる人、多そうですね。
脳内嫁の旧姓でも十分なのに。

Re:

[Anonymous Coward]

>脳内嫁の旧姓でも十分なのに。

そ、その発想はありませんでした！

や、でも、アカウント名等から個人情報が推測できたり、
怨恨などの特別な目的で自分だけが狙われるので無ければ、
結局、何かのリストを元に総当りするのでは？
総当りされるなら、辞書に架空の苗字などが登録されてたら
それで攻略されてしまうわけで…。
正直に入れる/入れないによる自衛効果は薄いかも。

Re:

[Anonymous Coward]

>脳内嫁の旧姓でも十分なのに。
「暗証番号に別れた元彼女の電話番号を使っている」とかいうのを
昔スラドで見かけたけれど、

「母親の旧姓」の部分に、「昔別れた彼女」とか「初体験の相手」とか
「ストーカー」とか「嫌いだった先生」なんかの名前を入力してもいい
のかもしんない。

他だと「今はまってるアニメやマンガや小説のキャラ」とかもあるけど、
これだと数年たって見直すとサッパリ分からなくなってるかも知れない。orz
＃こんな感じで： http://ikesanfromfrneore.blog64.fc2.com/blog-entry-266.html [fc2.com]

Re:質問とかみ合ってない回答にすればＯＫ

[rin_penguin (9144)]

いやー、もっとハズした方がいいでしょう。

  犬の名前＝GNU is not UNIX
  母親の旧姓＝ンビドー湖
  出身小学校＝ライザンバー
  1年生の時の担任＝ストレンジクォーク

くらいに。
同じ「種類」じゃ辞書攻撃に弱いですよ。

Re:質問とかみ合ってない回答にすればＯＫ

[kicchy (4711)]

＞ 犬の名前＝GNU is not UNIX
＞ 母親の旧姓＝ンビドー湖
＞ 出身小学校＝ライザンバー
＞ 1年生の時の担任＝ストレンジクォーク

そこまで外したら
パスワード忘れる人なら
確実に、リマインダの回答も忘れているでしょう。

# それとも秘密鍵のようにこれは家の金庫で印刷したものを保管とか？

Re:

[Anonymous Coward]

> # それとも秘密鍵のようにこれは家の金庫で印刷したものを保管とか？
パスワードを保管しておけばいいんじゃない?

Re:

[Anonymous Coward]

> 同じ「種類」じゃ辞書攻撃に弱いですよ。
普通の単語を使ったのでは結局辞書攻撃に弱いでしょう。やはりランダムな文字列にしないと。

Re:

[Anonymous Coward]

> 犬の名前は＝タマ

ポチとタマはパスワード辞書のリマインダー版が作られたら真っ先に載りそうだ。

Re:

[Anonymous Coward]

犬の名前は＝すらど
母親の旧姓は＝すらど
出身小学校は＝すらど
1年生の時の担任＝すらど

みたいに、そもそも質問に答えない。
#リマインダを忘れる可能性は高くなる。

Re:質問とかみ合ってない回答にすればＯＫ

[Anonymous Coward]

というか、本当にリマインダが必要なときは回答も完全に忘れているので
リマインダの用を成さない。

Re:

[Anonymous Coward]

パスワード忘れたときのためのなんとかってのには いつもパスワードそのものを入れてる。 その仕組みが可用性の向上に役立つとはあまり思えないので。

Re:

[Anonymous Coward]

Q.好きな食べ物は？
A.【脳内嫁の名前】
こうですか！わかりません＞＜

＃えろいいみじゃないよ。

Re:

[Anonymous Coward]

ペットの名前＝自分にとってペットみたいなもんだと思っている周囲の人間の名前

つまり
ペットの名前＝人類
ですね。わかります ( '-' )( ,_, )( '-' )( ,_, )

中国の場合

[Anonymous Coward]

中国ではWebサービスを使うのにリマインダーを登録する必要はない。
パスワードを忘れた場合、本人しか知り得ないプライベートな質問がされて、正しく答えたときだけパスワードが教えられる。

私はパスワード覚えてません。

[Anonymous Coward]

全部パスワード管理ソフトが覚えているので、、、、

おかげで自宅でしか接続できないのでWebメールを使う意味があまりないです。