アカウント名:
パスワード:
前置き：ユーザー視点的対策の話です。
定期的なパスワード変更よりも
「ログイン後に”最近ログイン試行した履歴”をだしてくれた方が、セキュリティ強度は上がるんではないだろうか。」「前回ログイン履歴」を出してくれるところは結構、あるけれども「ログインの試行履歴」まで出してくれるところはあまり見ない。
「前回ログイン履歴」では自分が①前回いつログインしたか覚えてないとわからない。②ログインができているという事は攻撃が成功している。 が①の問題で攻撃成功も判別しづらい
という問題があると思うのです。
で、「ログイン試行履歴」をだしてもらった場合どうなるかとい
たしかヤフーでしたっけ。 直近利用サービス一覧を提供しているのは。あとは…パソ通で繋ぎにいった時とかサーバーにsshで入る時とかLast login:は表示されてましたよね。
もと※です。Last login:ではダメなのです。 ヤフーも確かに前回ログイン表示されますね。でもそれではダメなのでは？。というのが元※の考えの元です。
もと※の「ログイン試行履歴」は「ログインに失敗した時刻と回数」も一覧表示されるべきでは？
というのが元※の趣旨であり、キモです。攻撃の1回目で成功すれば別ですが、その確率はかなり低い。
つまりログイン失敗回数と間隔で「自分のＩＤが攻撃を受けている。受けていた。 および攻撃の失敗・成功をユーザー側でも判断可能にする」
いうのが趣旨です。
元※にも書いたように、「Last login:」や「仕様サービス履歴」では、「成功し
もと※です。Last login:ではダメなのです。 ヤフーも確かに前回ログイン表示されますね。
ご自身のIDと間違ったパスワードでログインを試みてからアクセスしてみてください。https://lh.login.yahoo.co.jp/ [yahoo.co.jp]ご希望の機能ではありませんか？
やってみましたが、「ログインの失敗」については表示されませんでした。これだと攻撃と不正ログインの判別がつかないのでは？と思ったわけです。
逆に問わせて下さい。「不正ログインがされていた場合、この内容からどのログインが自分のものでない不正ログインと判別しますか？」（アクセス元で大分絞れるとは思います。）
#2515276についてもここで返信させて頂きますが、私は「攻撃自体が自分のIDだけである」なんていつ書きましたか？
「サーバーへの攻撃の一部に自分のIDが含まれ、自分のIDも攻撃を受けている場合」の話だとわかりませんか？パスワードリストアタックやなにかの一部である場合です。
もちろん外部からIDとパスワードリストを取得して不正ログインされた場合、ログインの失敗もないので、元※も適応できないわけですが。
ログインの失敗は、サービス開始当初は提供されていたんだけど途中から提供されない仕様に変わったんだよ。多分、日常茶飯事的にアタックが繰り返されているんだろう。
#デグレードするような仕様変更を平気でするのはさすがヤフーと呆れざるを得ない
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds
個人的提案：定期的なパスワード変更よりも (スコア:4, 興味深い)
前置き：ユーザー視点的対策の話です。
定期的なパスワード変更よりも
「ログイン後に”最近ログイン試行した履歴”をだしてくれた方が、セキュリティ強度は上がるんではないだろうか。」
「前回ログイン履歴」を出してくれるところは結構、あるけれども「ログインの試行履歴」まで出してくれるところはあまり見ない。
「前回ログイン履歴」では自分が
①前回いつログインしたか覚えてないとわからない。
②ログインができているという事は攻撃が成功している。 が①の問題で攻撃成功も判別しづらい
という問題があると思うのです。
で、「ログイン試行履歴」をだしてもらった場合どうなるかとい
Re: (スコア:0)
たしかヤフーでしたっけ。 直近利用サービス一覧を提供しているのは。
あとは…パソ通で繋ぎにいった時とかサーバーにsshで入る時とかLast login:は表示されてましたよね。
Re: (スコア:0)
もと※です。
Last login:
ではダメなのです。 ヤフーも確かに前回ログイン表示されますね。
でもそれではダメなのでは？。というのが元※の考えの元です。
もと※の「ログイン試行履歴」は「ログインに失敗した時刻と回数」も一覧表示されるべきでは？
というのが元※の趣旨であり、キモです。
攻撃の1回目で成功すれば別ですが、その確率はかなり低い。
つまりログイン失敗回数と間隔で
「自分のＩＤが攻撃を受けている。受けていた。
および攻撃の失敗・成功をユーザー側でも判断可能にする」
いうのが趣旨です。
元※にも書いたように、「Last login:」や「仕様サービス履歴」では、
「成功し
Re: (スコア:0)
もと※です。
Last login:
ではダメなのです。 ヤフーも確かに前回ログイン表示されますね。
ご自身のIDと間違ったパスワードでログインを試みてからアクセスしてみてください。
https://lh.login.yahoo.co.jp/ [yahoo.co.jp]
ご希望の機能ではありませんか？
Re: (スコア:0)
やってみましたが、
「ログインの失敗」については表示されませんでした。
これだと攻撃と不正ログインの判別がつかないのでは？と思ったわけです。
逆に問わせて下さい。
「不正ログインがされていた場合、この内容からどのログインが自分のものでない不正ログインと判別しますか？」
（アクセス元で大分絞れるとは思います。）
#2515276についてもここで返信させて頂きますが、
私は「攻撃自体が自分のIDだけである」なんていつ書きましたか？
「サーバーへの攻撃の一部に自分のIDが含まれ、自分のIDも攻撃を受けている場合」
の話だとわかりませんか？パスワードリストアタックやなにかの一部である場合です。
もちろん外部からIDとパスワードリストを取得して不正ログインされた場合、
ログインの失敗もないので、元※も適応できないわけですが。
Re:個人的提案：定期的なパスワード変更よりも (スコア:3, 興味深い)
ログインの失敗は、サービス開始当初は提供されていたんだけど途中から提供されない仕様に変わったんだよ。
多分、日常茶飯事的にアタックが繰り返されているんだろう。
#デグレードするような仕様変更を平気でするのはさすがヤフーと呆れざるを得ない