パスワードを忘れた? アカウント作成
5961853 story
セキュリティ

パスワード再発行に必要な「秘密の質問」は役立たず 91

ストーリー by hylom
電話で破られるなら意味ないし 部門より
あるAnonymous Coward 曰く、

本家/.で、「Secret Security Question」(パスワードを忘れた際などに尋ねられる質問は役立たずだ、という話題が紹介されている。

「秘密の質問」では、たとえば「ペットの名前」や「通っていた小学校」、「母親の旧姓」といった質問が用意されているが、今日ではGoogle検索のスキルがあればその答えが簡単に入手できてしまうものも多い。これらは時として、パスワードを破るよりも簡単に破られてしまう。

そこで対策として挙げられているのが、ランダムな答えを設定することだ。もちろんその場合、パスワードを忘れた際にはやや面倒なことになるが、そういった場合はその会社のサポートに電話をすればいい、としている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • パスワードマネージャ(KeePass)に登録&ランダム文字列ですね。
    活用するくらいなら、リセットするほうがマシなこと多いよね...

    # 用は辞書アタックに負ける項目なんて穴でしかないんですよ。

    --
    M-FalconSky (暑いか寒い)
    • by WindVoice (14680) on 2012年08月10日 22時04分 (#2210156) 日記
      そうそう。「学生時代の研究室の名前は?(例:○○ゼミ)」という設定項目があって、「佐藤ゼミ」じゃ脆弱すぎだろうと考えて「ミンミンゼミ」と…… え?
      --
      人生は七転び八起き、一日は早寝早起き
      親コメント
  • 昔通っていた学校だの生まれた病院だの母の旧姓だのクレジットカード番号の下四桁だのは、
    言いふらしはしないが調べようと思えば調べられる程度のもの。秘密とは言いがたい。

    暗証番号に「昔付き合ってた彼女の電話番号」を設定してるというコメントを見たことあるけれど、
    それと同じで「絶対に人には言いたくないこと」をキーワードにしておけば、ずっとバレにくいと思う。

    • クレカの下4桁はさすがにアレだけど、(amazonで無くとも、クレカ会社からの通知なんかにも一部ぼかしたクレカ番号が入ってたし)
      秘密の質問自体には意味があると思う。
      でもドロップりストの決まった質問から選ぶ奴はダメ。
      フリー入力できる質問にしとけば、まず特定は不可能。

      親コメント
    • by Anonymous Coward

      >言いふらしはしないが調べようと思えば調べられる程度のもの。
      相手がまじめに設定していることが大前提ですが、
      それこそfacebookから入手できるEmailアドレスと学校、出身地などで攻撃できそうですね。

      >「絶対に人には言いたくないこと」をキーワードにしておけば、ずっとバレにくいと思う。
      親に一時的に貸すためにパスワードを変えるハメになりましたよ。

  • by Anonymous Coward on 2012年08月10日 20時10分 (#2210086)

    コレ [mie-u.ac.jp]を思い出した

    • あなたが高校のときに告白された人数は?
      席替えで隣になった子からあなたの隣で良かったと言われた回数は?
      よく彼女と手をつないで下校した通りの名前は?
      学校の制服のまま最初にデートした場所は?
      あなたの中学のとき最初にキスした場所は?
      修学旅行の夜、こっそり部屋を抜け出して会っていた子の名前は?
      体育祭のとき、あなたが優勝した種目は?
       
      ...orz

      --
      And now for something completely different...
      親コメント
    • by Anonymous Coward

      何か、以前と比べてずいぶんゲッソリと痩せられたような>奥村先生

  • 自分だけしか知らない本当に秘密の質問なんて、そうそう無いよ。
    そもそも辞書攻撃を受けないために意味のある言葉をパスワードに
    するのはやめましょうっていうのと真っ向から矛盾するじゃないか。
    何よりむかつくのは、秘密の質問を必ず設定しないと登録できないサイトがあること。
    どうしろっていうんだ、まあパスワードと同じ文字列を設定するのが無難ですかね…
    • 発明時は十分使い物になったんだから、タイムマシンで遡って殺したりしてはいけない。
      パスワードに"12345"とか設定するヤツがパスワード忘れたの設定した記憶がないの言ってくることから身を守れる良いサポートコスト削減策だったんだから。
       # 確かアメリカだと母親の旧姓を本人確認に使う事が良くあるから、だったような……
       # ホテルなんかのセキュリティの緩いところの確認用ね。

      状況が変わって其処が最も脆弱で簡単に突破されるようになったんだから、棄てるべきってのならその通りだけどね。

      あと、秘密の質問の答えにパスワードを入れるのは止めた方が良いよ。
      秘密の質問にはパスワードロックが無い(何回繰り返しても問題なく応答する)サービス、いくつかあったから。

      親コメント
    • by Anonymous Coward on 2012年08月11日 9時27分 (#2210345)

      > どうしろっていうんだ、まあパスワードと同じ文字列を設定するのが無難ですかね…

      ほぼ確実に平文で保存されるだろうから無難ではないような…
      どうせ使わないなら適当な乱数を設定しておけば良いのでは?

      親コメント
  • by hahahash (41409) on 2012年08月10日 20時14分 (#2210089) 日記

    通っていた小学校>タマ
    母親の旧姓>かもめ第三小学校
    みたいに、回答をずらすとか、

    自分ではない架空のキャラクタあたりの設定を持ってくるとか、

    1番とか最初、とか書かれた質問に必ず3番目を答えるとか、

    他人に教えない自分ルールを用意して、そのルールに従った上で『正しく』答える。
    とかはどうでしょうね。

  • 「秘密の質問」なんていらないぜぇ、どうだワイルドだろ~。
    がいいと思うのですが、会員登録時に「秘密の質問」欄のあるサイトは、設定しないと、登録させてくれないサイトがほとんどです。安全性強化のために、スキップさせてくれてもいいのに、と思うのですが。

  • by Anonymous Coward on 2012年08月10日 21時53分 (#2210150)

    関連ストーリーに是非これも。
    リマインダー機能を外せ [srad.jp]

    2002年に警視庁がパスワードリマインダを使うことについて改善要請を出してるのに、十年経ってもまだこのありさまだよ。

  • どこだったか忘れたけど、秘密の質問設定時に質問文を自分で入力、それで思いつく文章をパスワードとするというのがあったな。
    歌詞や小説なんかから取ってくると検索されやすいからアウトだけど、個人的な記憶で「こう言われるとこう返しちゃうな」ってフレーズを入れておけばまず忘れない、と。

    まぁ、質問に何を書くかで悩むんだけどね。

    • 質問: チュニカ
      解答: みちる

      この関連性がわかる人はアレゲポイントを3つ加えて、 228 へ。
      もちろん「チュニカ みちる」で検索すれば理由は、わかる。 だがチュニカでは何なのかサッパリわからない。

      なぜこのリマインダを廃止したかって?
      嫁が突破したからだよ!(身内に弱いということですね)

      --
      ==========================================
      投稿処理前プレビュー確認後書込処理検証処理前反映可否確認処理後……
      親コメント
  • サービス側が「秘密の質問」をどんな用途で使ってるか次第で、まったく様相は変わってきませんかね。

    ①「秘密の質問」がパスワードと同等に機能する。
     つまり、入力すると、パスワード認証した場合と同じ権限でセッションが張られる。

     ⇒記事の通り。ただし、これは「役立たず」というものではなく、明らかに不都合のあるセキュリティホール。
       こんな阿呆なWebサイト、今のところ見たことありませんが。

    ②「秘密の質問」を入力しても権限は得られず、正規ユーザに向けて「何かの情報」が通知されるのみ。

      例えば、「あなたのメアドにパスワード送ったからね」とか「パスワード変更専用のURL送ったからね」的なやつ。

     ⇒たとえ「秘密の質問」をクラックされても、正規のユーザに鬱陶しいメールが何通も届くのみ。
       悪意あるユーザが何か得をすることはない。
       ので、セキュリティレベルの低い質問を設定していても、たいした実害はない。

    てか、大抵のWebサイトは②か、それに準じた使い方してると個人的には思ってるんですが、そうでもないんですかね。

    例えるなら、「秘密の質問」ってのは火災報知機のボタンの前にプラスチックの囲いが付いてるように、

     ・押されても、押した側に何かメリットがあるわけではない(愉快犯は別だけど)
     ・ただ、気軽に押されると迷惑なので、ちょっと押しにくくしてある程度

    というくらいの位置づけで使うべきで、その用途においては十分意味のあるものだと思うんですが、皆々様はどう考えますかね。

    • 気軽に押されると迷惑なので押しにくくする目的なら、「秘密の質問」じゃなくても例えばCAPTCHAでいいよね。

      「秘密の質問」はサイトによって扱いがまちまちであり、かつその「まちまちさ」を利用者が把握し辛いのが難点かと思う。
      「秘密の質問」はパスワードっぽいニュアンスで入力を求められて、パスワードっぽい感じで認証のリカバリに使用される印象だけれど、そのリカバリプロセスの詳細な部分を把握して入力する人ってきっと少ないよね。
      こういった「利用者がその入力項目の秘匿性を理解し辛い」ものは脆弱性になりがちなので、廃止した方がいいと思ってる。

      親コメント
  • ヤフーはまさにそれなんですが、登録した時のメアドと一致しないとパスワード自体送れないようです さすがに悪意を持った人がメールサーバにアクセスしてメールを受け取るのは不可能に近いので、任意のメアドに送れるようになってなければ、問題ないと思います
  • by ryouryou (34063) on 2012年08月11日 10時19分 (#2210361)

    多くの場合、答えはフリーワードなんだし、馬鹿正直に質問の答えを書く事もないでしょう。
    質問とは関連性のない事を答えとして書けばいい。
    まぁ、答えを覚えておく必要はあるけどね、答えではなく、答えを書く時の法則性を自分で定義して、
    それを覚えておけば、比較的簡単に思い出せると思う。

  • by Anonymous Coward on 2012年08月10日 19時55分 (#2210075)
    例えば嫁(彼女)の名前をランダムにしてみる・・・・
    • by Anonymous Coward

      今のヨメ(二次元)の名前を設定しても、2~3年も立てば自分でも分からなくなりそう。
      ランダムよりたちがわるいぜw

  • by Anonymous Coward on 2012年08月10日 20時15分 (#2210091)

    質問から推測できない答えにする

    質問の答えを例えば必ず「ドラえもん」に決めておいて
    サイト毎にそれぞれ的はずれな質問を選ぶ
    「好きな食べ物は?」「母校の名前は?」「彼女の名前は?」
    この場合、「ペットの名前は?」は危ないかも

    • by Anonymous Coward on 2012年08月10日 21時25分 (#2210129)

      「秘密の質問」に対して全て同じ回答を用意するなら、最初から「秘密の質問」なんて意味がありません。
      あなたの例えの場合、パスワードを全て「ドラえもん」に決めているのと一緒です。
      「秘密の質問」というのはパスワードの代わりになるものなので、パスワードと同程度かそれ以上の回答の困難さが必要です。

      また、他でも「質問と関係の無い答えにする」という解決案が出てますが、それを覚えていられるなら、最初から質問と関係の無い文字列であるパスワードを忘れなきゃいいだけなので、やっぱり意味ありません。

      結局のところ、「秘密の質問」なんて仕組みは従来のパスワードのセキュリティを脆弱にしただけです。

      親コメント
      • by Anonymous Coward on 2012年08月11日 9時13分 (#2210340)

        「秘密の質問」に対して全て同じ回答を用意するなら、最初から「秘密の質問」なんて意味がありません。
        あなたの例えの場合、パスワードを全て「ドラえもん」に決めているのと一緒です。
        「秘密の質問」というのはパスワードの代わりになるものなので、パスワードと同程度かそれ以上の回答の困難さが必要です。

        いや本当にこれだよね。

        パスワードに関しては各サイト同じものを入力する危険性を理解しているのに、秘密の質問の答えについてはなぜか各サイト同じものを入力することに危険を感じない人が多い気がする。質問を選んで正直に回答するより危険とも言えるのに。

        解読が困難な程度にランダムな文字を突っ込んでおいて、結果的に機能を無効にしてしまうのが一番だな。

        親コメント
    • by Anonymous Coward

      似たような設定してます。

      全然関係ない答え + "かも"
      とか
      全然関係ない答え + "だったりして"
      とか

      例えば
      小学校の名前は?
      答え:こんにちわかも
      みたいな。

    • by Anonymous Coward

      自分もそうしてますね。
      て言うか初めてこれ見た時、直球の答え書いちゃいけないよってフリだなってすぐ思ったんですが。

    • by Anonymous Coward

      えっと、意味のある単語、あるいは文章をパスフレーズにしている時点で、辞書アタックの格好の餌食のような気がしますが…。

  • by Anonymous Coward on 2012年08月10日 20時17分 (#2210092)

    自分も役に立たないと思ってたけど
    この間Gmailがログインできなくなった時に役に立った。(パスワードを忘れたのではなく恐らくアカハクされた)
    答えは昔飼っていたペットの名前だけど
    そのままではなく、実際にいつも呼んでいた時の名前にしていた。
    例えば「ポチ」なら、「ポチリン」とか。

    サポートだけど、サポートに対してメールを送ったが役に立たなかった。
    サポートするにあたって、登録したおおよその日付や最後にログインした日とかそういった情報を要求されたけど
    そんなの正直覚えていない。
    それで本人証明ができないから無理ですってなった。
    意味ねーじゃんと。
    そんなのをいちいち覚えてるぐらいならパスワード忘れないわ。
    自分の場合は忘れたんじゃないけども。

    • >サポートするにあたって、登録したおおよその日付や最後にログインした日とかそういった情報を要求されたけど
      そんなの正直覚えていない。

      げ。暴れていいレベルかな。
      登録は同時に携帯アクセス設定もしたから、
      そっちのメールが残っていたらわかるけど。
      親コメント
    • by Anonymous Coward
      >この間Gmailがログインできなくなった時に役に立った。

      いや、このストーリーでいう「役立たず」ってのは、「いざという時にパスワードを再発行できない」という意味じゃなく、「自分しかわからないって事は無い」って意味では?

      アカハクした奴が秘密の質問を再設定していたらアウトだよね。
  • by Anonymous Coward on 2012年08月10日 20時43分 (#2210103)

    秘密の質問を設定してもしなくても、どのみちメールアドレスにパスワードリセットさせるURLを送らせれる事が出来たりするので使う事自体がほぼ無いという。
    結局タレコミと一緒の対処法なのですが、絶対に使えないようにここの強度をアホみたいに上げています。

  • by Anonymous Coward on 2012年08月10日 21時06分 (#2210122)

    だから別の方法を使っている

typodupeerror

私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson

読み込み中...