アカウント名:
パスワード:
一時パスワード変更が全くできない状態に陥っていましたが、今はOCNメールからのみパスワード変更ができるようですね。
それはともかくとして、パスワードの文字制限があまりに酷いので、これを何とかして欲しい物です。現在の制限は ---1..6~8文字2. 使用可能文字は英字(大/小)、数字、記号( ! $ % & ' ( ) * + , - / ; ? [ ] ^ { } ~ )3. 2文字以上の英字と1文字以上の数字/記号を組み合わせる ---なんですけど…、まずは文字数上限低すぎ! NTT系のサービスってみんな文字数制限低いような気がするんだけど、気のせいでしょうかね?
# 一応OCNに文句は言いました。
未だに8文字制限のあるcrypt()しか知らんのかもしれませんね
http://blogs.technet.com/b/jpsecurity/archive/2013/07/26/3586967.aspx [technet.com]
安全性の高いパスワードを使用し、秘密にしておく安全性の高いパスワードとは 14 文字以上の長さで、英大文字、英小文字、数字、記号を組み合わせたものを言います。安全性の高いパスワードの作成では強力なパスワードを作成する手順をご紹介しています。
でも最大16文字なんだよな。
あと変な場所からのログオンとか警告してくれないので、自分でログオン履歴の開示を要求してみると変なとこからログインされてても気づかない。心配じゃない人も見てみるといいよ。開示してもらうのすごいめんどくさいけれど。
>OCNメールを除く12のサービスについてOCN IDを使用したログインができない状態にあるとのことだ。ここら辺から、OCN IDは、認証統合のサービスだろうと。多分、上記13のサービスやバックエンドの古いシステムのパスワードの共通解が、上記1~3ではと思う。実装の仕方を工夫したり、制限がゆるゆるなシステムを改修したり、やり様はあると思うけど。
年配者を含む一般の人の記憶力だと、簡単に覚えられるのは、4文字までと言われているよ。年配者に8文字以上の入力を求めるのは、結構、しんどいと思う。もしかしたら、OCN IDには実装されているかも知れないけど、別の方法、例えば、4回以上間違えると、一時利用不可等で、セキュアにした方が良い気がする。
ところで、上記サービス以外にも、OCN IDは、docomoIDやgooIDとも関連しているようなんだが・・・・。http://www.nttid.jp/ [nttid.jp]
何で二段階認証をしないのでしょう?
スマホとかですでにアプリが仕込んで有れば、QRコードをカメラで撮れば一発の様に思えますが。
#OCNもですがNiftyも
ksみたいなサービスを作りすぎている感
社員を食わせて行かないといけないんです、サービス自体が赤字でも問題なし
的確な表現ですね。
つまり、お客さんから多めにお金を頂いて、余って利益を出しすぎている事をカモフラージュする為、って事でしょうか?
研究開発費などの経費扱いって事でしょうけど、本来、社会に認められる、つまり利益になるサービスを創る事が、社員の社会奉仕なんだろうけど、自覚が無いって事ですね。
研究開発なので、1/10の確立でも利益が出れば良い、と言えなくも無いが、色々な意味で、周りに迷惑を掛けない様にやって欲しいもんだ。
生活に直結してるサービスを運営している意識はなかったんだろうか。既視感があるんだけど、OCNって前にもこういうの起こしてなかったっけ?スラドで見た気がするんだけど、関連リンクに無いし・・・・・・。
ネット上に家計簿とか今日何を買ったとか、わざわざ毎日うpすること自体が信じられないんだけどオフラインでできるでしょ
あ、disられた ^^;これ [srad.jp]は非実在扱い?
別ACだけど、非実在とかじゃなくて、その行為の意味自体がわかんないなぁ…とは思う。例えば模型が好きで購入から完成までをブログの日記ネタにするとかならまだクリエイティブな要素があるからわかるんだけどさ。単に買ったログをオンラインで公開する必然性てゆーか、個人情報を出すそのユルさが理解出来ないんだよね。
あなたが理解できようができまいが関係ないんじゃないですか。行為の意味がわからないなら、黙って心の中で「理解できないんだよね」と言っていれば良い。
shibuyaが俺やってますよアピールなんてしなきゃスルーしてたさ…
日記 [srad.jp]で手短に言及した説明ですが。。。現在のわたしにとってお手軽な記録手段だから使用している。ローカルかつオフラインな出納簿かつ日誌ほかに移行するのでは管理の手間が増える。そもそも他者にとっては見ないことにすれば気にならない範囲のノイズで余計なもの分類。
どうしてそんなユルいのかという点は価値が小さいからということです。わたしは世間から見れば人生の敗残者だと断言できる。自身の機微情報が他者に比べて重要視されるとはとても思えない。そんな相手に不特定多数の広いい層からあいつをこらしめてやれ、むしりとってやれと関心が持たれることは少なかろうということです。そこまでわたしに興味ある人がいるでしょうか?可能性ゼロではないだろうけどきわめて低かろう。もっと資産が多いとか、養っている家族がいるとか、交友関係が広いとか、部下が多くて責任が重いとか、将来の可能性が無限とか、まだまだ若いとか、そんな自慢したくなるような特質がないのですよ。守るに値するほどでない情報だからslashdot.jpで晒した結果困った立場になったとしてもそのむくいは自分でカバーできる範囲というわけだ。
遅れてるな。今は口座集約(アカウントアグリゲーション)サービスとか言って、ネット銀行のパスワードだってホイホイ第三者に教えちゃうんだぜ。
OCN家計簿は、主に銀行やクレジットカードなどのアグリゲーションサービス的な意味合いが強いですね。Zaimとの連携もでき、(リスクは大いにあるのですが)利便性もそれなりにあるとおもっています。
#だからこそドン引きなんですが
> OCNって前にもこういうの起こしてなかったっけ?
世界に類をみない高品質な通信インフラを築きあげてきた公社の記憶が世間にはまだocnに対する企業イメージの根底になってたりするとかですか。 何事にも手を抜かず、ものすごくきっちり仕事こなすと思われてしまってるとか。 その実は、ご存知の通り過去からいくつか問題指摘されてたのは事実で、ゆるいとこ満載なのがocnですね。通信インフラの理想を頭で考えてネットワークを構築してサービスしてたら、あちこちに迷惑かけちゃったとかってな頭脳明晰なんだけど頭良すぎて世間ズレしてるに近いイメージからくる「ゆるさ」とかかなと。
そろそろV6てどうよ?と思って食指を動かしにかかってたんでocnに乗り換えたばかりでしたが、ゆるいからと思ってハラハラ、ドキドキしてたら、ほらきたきたきたーーて感じですかね(汗
#やられちゃったんだけどさ
有料サービスなら開発費もきちんと確保できるんでしょうけど、、、かつてのDoBlogや、OCN家計簿などは非会員にも無料開放しているサービスで。
そういう無料サービスを、NTTのような巨大企業が非会員にも提供とか、そんな大盤振る舞いしてペイするのかなと時折思います。今回はNTTcom本体ですし、NTTクオリティの人件費で無料サービスをやるというのは、ハードル高いのでは…。
OCNはマイポケットというストレージサービスもてがけています。流出したID・パスワードが使われてストレージ内にある重要情報が流出するという更なる二次被害も想定されます。
また、メールアドレス+パスワードという組み合わせは金融系のサイトのログインの際にもよく使われます。同じメールアドレス・パスワードを使っていれば、流出したID・パスワードを使って、金融機関の口座にも直接アクセスが可能になります。
今回流出したのは、単なるID・パスワードではありません。ストレージへのアクセス、金融機関等の口座へのアクセスを許したのと同義なのです。
銀行とパスワード同じにしなきゃいいんじゃ
別パスワードだとしても、パスワードリセットで奪取可能かも?と考えると結構ヤバい問題なんですけどねー
メールアドレス+パスワードという組み合わせは金融系のサイトのログインの際にもよく使われます。 同じメールアドレス・パスワードを使っていれば、流出したID・パスワードを使って、金融機関の口座にも直接アクセスが可能になります。
10行以上の金融機関(銀行・証券会社)の口座を持っていますが、メールアドレスとパスワードの組み合わせでログインできるところは、1行もありません。
ごくまれに、住信SBIネット銀行など、IDを任意の文字列に変更できる銀行もありますが、メールアドレスにはできません。
例えば、みずほ銀行は、お客さま番号 (数字8桁) で、三菱東京UFJ銀行は、ご契約番号 (数字10桁)が、IDとなりま
みんな、クラウドを信用しすぎ。クラウドにそんな重要なデータを置くほうが、頭がおかしい。
銀行口座の管理を、そんな単純なメールアドレスと使いまわしのパスワードで?正気の沙汰じゃない。
みんな、銀行を信用しすぎ。銀行にそんな重要な資産を置くほうが、頭がおかしい。
ってな言い換えが通った時代もあったのかもなーとか。早いところ安心して使えるクラウドが出来て欲しいよね。
個人的認識では安全性低:自前クラウド代替×脆弱認証<クラウド×脆弱認証<自前クラウド代替×セキュアな認証<クラウド×セキュアな認証:安全度高だと思ってる。自前クラウドは保守に割ける資源が企業のクラウドに及ばないこともあるだろうし。※但し企業が真面目に取り組んでる場合に限るだけどいっちょうことあらばクラウドの方が集約されてる分被害が大きいんだよね。
# 身の回りで75%本件で漏洩したようなのでAC
プロバイダがocnに吸収されたおかげで、ocnのメールアカウントを持っているのですがそういった都合上一度もこのアドレスを使ったことがありませんでした。でも、1年ほど前から、たまにこのメールアドレスに海外からメールが来ます。しかも、ccで複数のocnメールアドレスがついて。
怖いです。
怖がる必要は無いのではしかしまあ、今後もそのアドレスは使わない事だね
受信しないわけにはいかないだろうからgmailに送れば大抵のスパムが回避出来るよ
Unixなら安全だと、林檎により革新的に再定義されているのに・・・。
最初アナウンスされた件の脆弱性は、時期から考えてもこれだろう。http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-003441.html [jvndb.jvn.jp]IT業界では、今最もホットな話題だろう。
Struts 2フレームワークを使ったJavaシステムは、かなり該当するんじゃないかい。あなたのシステムは、大丈夫でしょうか?
っで、この会社の体質から言って、流失したのはこれが初めてではないだろうと、思ってみると、案の定、4月19日には流出していた事が判明。http://itpro.nikkeibp.co.jp/article/NEWS/20130726/494464/ [nikkeibp.co.jp]
つまり、今回の事が無ければ、気付く事すらも無かったって事。最も、ダメダメな会社のパターンじゃん。正直に発表したのは評価出来ると思うけど、ブランディングに、「安心」「安全」なんて使って良い会社なんだろうかと思う。
流出が4月19日とした場合、既に他の情報も流出してんじゃね~のとか、これまでも気付かなかっただけじゃね~のと思う。
っで、この会社の体質から言って、流失したのはこれが初めてではないだろうと、思ってみると、案の定、4月19日には流出していた事が判明。
これは記事の誤りだそうです。以下引用。
■変更履歴最後から2番めの段落で「情報が流出したのは2013年4月19日」としていましたが、「情報が流出したのは2013年7月19日」です。お詫びして訂正します。本文は修正済みです。 [2013/07/29 09:10]
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー
パスワードの文字制限を何とかしろと… (スコア:2, 興味深い)
一時パスワード変更が全くできない状態に陥っていましたが、今はOCNメールからのみパスワード変更ができるようですね。
それはともかくとして、パスワードの文字制限があまりに酷いので、これを何とかして欲しい物です。
現在の制限は
---
1..6~8文字
2. 使用可能文字は英字(大/小)、数字、記号( ! $ % & ' ( ) * + , - / ; ? [ ] ^ { } ~ )
3. 2文字以上の英字と1文字以上の数字/記号を組み合わせる
---
なんですけど…、まずは文字数上限低すぎ!
NTT系のサービスってみんな文字数制限低いような気がするんだけど、気のせいでしょうかね?
# 一応OCNに文句は言いました。
Re: (スコア:0)
未だに8文字制限のあるcrypt()しか知らんのかもしれませんね
一方、マイクロソフトの中の人は14文字以上を推奨した。 (スコア:0)
http://blogs.technet.com/b/jpsecurity/archive/2013/07/26/3586967.aspx [technet.com]
安全性の高いパスワードを使用し、秘密にしておく
安全性の高いパスワードとは 14 文字以上の長さで、英大文字、英小文字、数字、記号を組み合わせたものを言います。安全性の高いパスワードの作成では強力なパスワードを作成する手順をご紹介しています。
Re: (スコア:0)
でも最大16文字なんだよな。
あと変な場所からのログオンとか警告してくれないので、
自分でログオン履歴の開示を要求してみると変なとこからログインされてても気づかない。
心配じゃない人も見てみるといいよ。開示してもらうのすごいめんどくさいけれど。
Re: (スコア:0)
>OCNメールを除く12のサービスについてOCN IDを使用したログインができない状態にあるとのことだ。
ここら辺から、OCN IDは、認証統合のサービスだろうと。
多分、上記13のサービスやバックエンドの古いシステムのパスワードの共通解が、上記1~3ではと思う。
実装の仕方を工夫したり、制限がゆるゆるなシステムを改修したり、やり様はあると思うけど。
年配者を含む一般の人の記憶力だと、簡単に覚えられるのは、4文字までと言われているよ。
年配者に8文字以上の入力を求めるのは、結構、しんどいと思う。
もしかしたら、OCN IDには実装されているかも知れないけど、別の方法、例えば、4回以上間違えると、
一時利用不可等で、セキュアにした方が良い気がする。
ところで、上記サービス以外にも、OCN IDは、docomoIDやgooIDとも関連しているようなんだが・・・・。
http://www.nttid.jp/ [nttid.jp]
Re: (スコア:0)
何で二段階認証をしないのでしょう?
スマホとかですでにアプリが仕込んで有れば、QRコードをカメラで撮れば
一発の様に思えますが。
#OCNもですがNiftyも
ksみたいなサービスを作りすぎている感 (スコア:0)
ksみたいなサービスを作りすぎている感
Re: (スコア:0)
社員を食わせて行かないといけないんです、サービス自体が赤字でも問題なし
Re: (スコア:0)
的確な表現ですね。
つまり、お客さんから多めにお金を頂いて、余って利益を出しすぎている事を
カモフラージュする為、って事でしょうか?
研究開発費などの経費扱いって事でしょうけど、本来、社会に認められる、
つまり利益になるサービスを創る事が、社員の社会奉仕なんだろうけど、
自覚が無いって事ですね。
研究開発なので、1/10の確立でも利益が出れば良い、と言えなくも無いが、
色々な意味で、周りに迷惑を掛けない様にやって欲しいもんだ。
家計簿とかドットフォンオフィスとか (スコア:0)
生活に直結してるサービスを運営している意識はなかったんだろうか。
既視感があるんだけど、OCNって前にもこういうの起こしてなかったっけ?
スラドで見た気がするんだけど、関連リンクに無いし・・・・・・。
Re: (スコア:0)
ネット上に家計簿とか今日何を買ったとか、わざわざ毎日うpすること自体が信じられないんだけど
オフラインでできるでしょ
Re:家計簿とかドットフォンオフィスとか (スコア:1)
あ、disられた ^^;
これ [srad.jp]は非実在扱い?
Re: (スコア:0)
別ACだけど、非実在とかじゃなくて、その行為の意味自体がわかんないなぁ…とは思う。
例えば模型が好きで購入から完成までをブログの日記ネタにするとかならまだクリエイティブな要素があるからわかるんだけどさ。
単に買ったログをオンラインで公開する必然性てゆーか、個人情報を出すそのユルさが理解出来ないんだよね。
Re:家計簿とかドットフォンオフィスとか (スコア:1)
あなたが理解できようができまいが関係ないんじゃないですか。
行為の意味がわからないなら、黙って心の中で「理解できないんだよね」と言っていれば良い。
640GBはすべての人にとって未来永劫充分なメモリだ。
Re: (スコア:0)
shibuyaが俺やってますよアピールなんてしなきゃスルーしてたさ…
Re:家計簿とかドットフォンオフィスとか (スコア:1)
日記 [srad.jp]で手短に言及した説明ですが。。。
現在のわたしにとってお手軽な記録手段だから使用している。
ローカルかつオフラインな出納簿かつ日誌ほかに移行するのでは管理の手間が増える。
そもそも他者にとっては見ないことにすれば気にならない範囲のノイズで余計なもの分類。
どうしてそんなユルいのかという点は価値が小さいからということです。
わたしは世間から見れば人生の敗残者だと断言できる。自身の機微情報が他者に比べて重要視されるとはとても思えない。そんな相手に不特定多数の広いい層からあいつをこらしめてやれ、むしりとってやれと関心が持たれることは少なかろうということです。そこまでわたしに興味ある人がいるでしょうか?可能性ゼロではないだろうけどきわめて低かろう。
もっと資産が多いとか、養っている家族がいるとか、交友関係が広いとか、部下が多くて責任が重いとか、将来の可能性が無限とか、まだまだ若いとか、そんな自慢したくなるような特質がないのですよ。
守るに値するほどでない情報だからslashdot.jpで晒した結果困った立場になったとしてもそのむくいは自分でカバーできる範囲というわけだ。
Re: (スコア:0)
遅れてるな。
今は口座集約(アカウントアグリゲーション)サービスとか言って、
ネット銀行のパスワードだってホイホイ第三者に教えちゃうんだぜ。
Re: (スコア:0)
OCN家計簿は、主に銀行やクレジットカードなどのアグリゲーションサービス的な意味合いが強いですね。
Zaimとの連携もでき、(リスクは大いにあるのですが)利便性もそれなりにあるとおもっています。
#だからこそドン引きなんですが
Re: (スコア:0)
> OCNって前にもこういうの起こしてなかったっけ?
世界に類をみない高品質な通信インフラを築きあげてきた公社の記憶が世間にはまだ
ocnに対する企業イメージの根底になってたりするとかですか。 何事にも手を抜かず、
ものすごくきっちり仕事こなすと思われてしまってるとか。 その実は、ご存知の通り
過去からいくつか問題指摘されてたのは事実で、ゆるいとこ満載なのがocnですね。
通信インフラの理想を頭で考えてネットワークを構築してサービスしてたら、あちこち
に迷惑かけちゃったとかってな頭脳明晰なんだけど頭良すぎて世間ズレしてるに近いイ
メージからくる「ゆるさ」とかかなと。
そろそろV6てどうよ?と思って食指を動かしにかかってたんでocnに乗り換えたばかり
でしたが、ゆるいからと思ってハラハラ、ドキドキしてたら、ほらきたきたきたーーて
感じですかね(汗
#やられちゃったんだけどさ
Re: (スコア:0)
有料サービスなら開発費もきちんと確保できるんでしょうけど、、、
かつてのDoBlogや、OCN家計簿などは非会員にも無料開放しているサービスで。
そういう無料サービスを、NTTのような巨大企業が非会員にも提供とか、そんな大盤振る舞いしてペイするのかなと時折思います。
今回はNTTcom本体ですし、NTTクオリティの人件費で無料サービスをやるというのは、ハードル高いのでは…。
本当、困ります。 (スコア:0)
OCNはマイポケットというストレージサービスもてがけています。
流出したID・パスワードが使われてストレージ内にある重要情報が流出するという更なる二次被害も想定されます。
また、メールアドレス+パスワードという組み合わせは金融系のサイトのログインの際にもよく使われます。
同じメールアドレス・パスワードを使っていれば、流出したID・パスワードを使って、金融機関の口座にも直接アクセスが可能になります。
今回流出したのは、単なるID・パスワードではありません。
ストレージへのアクセス、金融機関等の口座へのアクセスを許したのと同義なのです。
Re: (スコア:0)
銀行とパスワード同じにしなきゃいいんじゃ
Re: (スコア:0)
別パスワードだとしても、パスワードリセットで奪取可能かも?と考えると結構ヤバい問題なんですけどねー
Re: (スコア:0)
10行以上の金融機関(銀行・証券会社)の口座を持っていますが、メールアドレスとパスワードの組み合わせでログインできるところは、1行もありません。
ごくまれに、住信SBIネット銀行など、IDを任意の文字列に変更できる銀行もありますが、メールアドレスにはできません。
例えば、みずほ銀行は、お客さま番号 (数字8桁) で、三菱東京UFJ銀行は、ご契約番号 (数字10桁)が、IDとなりま
Re: (スコア:0)
みんな、クラウドを信用しすぎ。
クラウドにそんな重要なデータを置くほうが、頭がおかしい。
銀行口座の管理を、そんな単純なメールアドレスと使いまわしのパスワードで?
正気の沙汰じゃない。
Re: (スコア:0)
みんな、銀行を信用しすぎ。
銀行にそんな重要な資産を置くほうが、頭がおかしい。
ってな言い換えが通った時代もあったのかもなーとか。
早いところ安心して使えるクラウドが出来て欲しいよね。
個人的認識では
安全性低:自前クラウド代替×脆弱認証<クラウド×脆弱認証<自前クラウド代替×セキュアな認証<クラウド×セキュアな認証:安全度高
だと思ってる。
自前クラウドは保守に割ける資源が企業のクラウドに及ばないこともあるだろうし。※但し企業が真面目に取り組んでる場合に限る
だけどいっちょうことあらばクラウドの方が集約されてる分被害が大きいんだよね。
# 身の回りで75%本件で漏洩したようなのでAC
一度も使用していないのに (スコア:0)
プロバイダがocnに吸収されたおかげで、ocnのメールアカウントを持っているのですが
そういった都合上一度もこのアドレスを使ったことがありませんでした。
でも、1年ほど前から、たまにこのメールアドレスに海外からメールが来ます。
しかも、ccで複数のocnメールアドレスがついて。
怖いです。
Re: (スコア:0)
怖がる必要は無いのでは
しかしまあ、今後もそのアドレスは使わない事だね
受信しないわけにはいかないだろうから
gmailに送れば大抵のスパムが回避出来るよ
なぜUnixを使わなかったのか (スコア:0)
Unixなら安全だと、林檎により革新的に再定義されているのに・・・。
Re:不正アクセスといっても、内容が酷い (スコア:2, 参考になる)
最初アナウンスされた件の脆弱性は、時期から考えてもこれだろう。
http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-003441.html [jvndb.jvn.jp]
IT業界では、今最もホットな話題だろう。
Struts 2フレームワークを使ったJavaシステムは、かなり該当するんじゃないかい。
あなたのシステムは、大丈夫でしょうか?
っで、この会社の体質から言って、流失したのはこれが初めてではないだろうと、
思ってみると、案の定、4月19日には流出していた事が判明。
http://itpro.nikkeibp.co.jp/article/NEWS/20130726/494464/ [nikkeibp.co.jp]
つまり、今回の事が無ければ、気付く事すらも無かったって事。
最も、ダメダメな会社のパターンじゃん。
正直に発表したのは評価出来ると思うけど、ブランディングに、「安心」「安全」なんて
使って良い会社なんだろうかと思う。
流出が4月19日とした場合、既に他の情報も流出してんじゃね~のとか、
これまでも気付かなかっただけじゃね~のと思う。
Re: (スコア:0)
これは記事の誤りだそうです。
以下引用。