「@PAGESで平文のパスワードを含む全ユーザーの管理情報が流出」記事へのコメント

一般のブラウザではアクセスできない特定の場所に一般のブラウザで行ってきました

[chuukai (18189)]

「一般のブラウザではアクセスできない特定の場所」という言い方をしていますが、これは少しでも安心感を持たせたいという目的があってこういう言い方になったのでしょうか。
確かに、普通はツール（意味深）をインストールしてアクセスする場所にありました。
けれども、私はなんのツールもインストールせず、特別なアドインや拡張機能をインストールしていないFirefoxで流出したデータを含むファイルをダウンロードできました。ある程度の知識があれば、だれでもできると思います。

ファイルの内容を見た印象は、データベースをセットアップするときに使ったのかなというものでした。
このファイル

８月３１日付け追記から

[chuukai (18189)]

ユーザ情報流出に関するお知らせ【第2報】 [atwiki.jp]から一部転載。

【追記】※流出中のデータは2013年2月27日午後2時54分現在のものです。
それ以降にパスワードを変更している場合には流出したパスワードでの不正アクセスの恐れはございません。
また、流出時刻以降にメールアドレスを変更している場合には変更後のメールアドレスは流出しておりません。

それ以降にパスワードを変更している場合には（変更前のパスワードは流出しているので既に不正アクセスされていたかもしれませんが、変更後のパスワードについては流出していないと考えたいから）流出したパスワードでの不正アクセ

Re:

[Anonymous Coward]

>メールアドレスが所属しているメールサーバに使いまわされたパスワードで不正アクセスされること

デフォルトでは@PAGESが生成した5文字程のパスワードが設定されているので、ユーザ側にて使い回しているパスワードへ変更する措置を取っていない限りは、そのような恐れはありません。

Re:８月３１日付け追記から

[chuukai (18189)]

>5文字程

今確認したら、生成される文字数は英数字で14字です。
英数字で14字でないパスワードを数えたら、31317個でした。
全体で175297個ありますから、少なくとも17.9%はパスワードを変更していることになります。

>ユーザ側にて使い回しているパスワードへ変更する措置を取っていない限りは、そのような恐れはありません。

リスト形式のクラックで使うには十分な数だと思います。

Re:８月３１日付け追記から

[chuukai (18189)]

ちょっと訂正。
データベース上ではハッシュ化か何かして14字以上にしているようですね。
逆にいうと13字以下の場合は生のパスワードになっています。
14字以上の場合にも生のパスワードが含まれていますが、割合としては少ないものでしょう。
175297個のうち英数字で13字以下のパスワードは31309個ありますから、少なくとも17.9%はパスワードを変更していることになります。