「ビックカメラ.com、ユーザーのパスワードをリセットしてサービス再開。しかしパスワードの変更は不可」記事へのコメント

メールでPW送付し「安全宣言」する企業の限界

[marute (13883)]

パスワードをメールで送付していたのは知ってた [srad.jp]けど、まさかそのPWが変更不可だったとは知らなかった。

通勤の乗換え駅にビックのリアル店舗があるから、ちょくちょく消耗品の購入で利用し、そのつどポイントは全額使用するからネットショップの運営が杜撰でもオイラにたいした実害はないからいいけど…

Re:メールでPW送付し「安全宣言」する企業の限界

[marute (13883)]

ちなみに、当初サイトトップ [biccamera.com]で「メールもしくはDM（ダイレクトメール）にて順次送付」 [gigazine.net]だったのが今は単に「順次パスワードを送付」と変更され、送付方法に関しては言及されてませんね。

さすがに、メールでパスワード送付する危険性を認識したのでしょうか？

Re:メールでPW送付し「安全宣言」する企業の限界

[TonboDama (31248)]

メールに平文でパスワードが書かれているのは盗聴へのリスクがあるのは判りますが個人的には
リスク評価し利便性と天秤にかけたら受容かなと。

正直、何で通知されることを期待されていますかね。
ざっと考えても
1. httpsで渡す。渡す前の本人確認に完全性がない.
      (すでにID/Passが漏れているから)
2. Mail + PGP を使う
    メールアドレスにひもづくPGPのキーが手に入れば良いソリューションでしょう。
    PGPの利用者がしれているので網羅性に欠ける。
3. 郵便やクロネコ便などで送付。
    時間がかかるので利便性に欠ける。
    電子メールの経路を盗聴されるのと、配達中に盗まれる、または悪意のある
    郵便屋の中の人が覗き見る可能性のどちらがリスクがあるのか評価が必要。
    ただし、圧縮葉書（というのかな）などは盗み見られたことを検知あすることは
    電子メールよりアドバンテージがあると思われる。
4. Mail で平文
    経路途中で盗聴される可能性がある。
5.電話で伝える
    電話の発信元認証ができない(発信番号は偽造可能)。
    口頭ではパスワードを聞き間違える可能性がある。
    電話でも途中経路で盗聴される可能性はある。
6. 1-5を選択できるようにする。
    選択させるときの本人認証が困難。

どうでしょうか。これならメールで平文もありかと考えています。
もっと良い方法があれば教えてほしいです。

なおパスワード変更できないと言う点はあり得ないと考えています。

Re:

[Anonymous Coward]

> なおパスワード変更できないと言う点はあり得ないと考えています。
まったくですね。平文メールで通知だけだったらおっしゃるとおり擁護の余地もあったのに、せっかく擁護しようとしている人を背後から撃たないでいただきたいものです＞ビックカメラ
それにしても「第三者機関」とやらはコンサル詐欺師か何かなのでしょうかね。金を払って相談を受けていないことには一切タッチしないというプロフェッショナルの鑑なだけなのかもしれませんが。

注：その第三者期間はサイトの安全性しかチェックしていません

[Anonymous Coward]

平文でパスワードを送ることについてのコンサルまでしてないんでしょ？

……してないと信じたいぞ。

Re:

[Anonymous Coward]

期限付きワンタイムキー付きURLを送付。アクセスあったらIDと新しいパスワード入力を求め、IDが一致したら新しいパスワードをセット。葉書で登録完了（パスワードではない）を通知（通知のみ）。
葉書以外はパスワード忘れたときにやられるよくある方法。
盗聴されたら乗っ取られるけど、本人がアクセスできないから検知できる。
メールアドレス変更されてたら、メール来ないので検知できる。
葉書送付でメールアドレス変更されてて、忘れてても検知できる。
本人が忘れてて両方変更されてたら検知できないけど、それは仕方ない。
新しいパスワードがセットされるまでアカウントロックしておけば、休眠アカウントはロックできる。
そのまま、パスワード忘れた場合の対処システムに出来る。

いちばんアレなのは、パスワードが漏れてるのに、それをまたパスワードにして、気が付かれずに使われ続けることか。
＃それを防ぐためのパスワード変更不可で、葉書で制限解除キーとか送ってたりして。