アカウント名:
パスワード:
パスワードを復元可能な形式で運用していたら社長以下専務・常務クラスまで獄門晒し首、仕様を作ったエンジニアも二度とIT業界での仕事ができないようにする、ぐらいしても良いのではないか。
GPUクラウドの時代、一般人が付けるような簡単なパスワード(人名+誕生日とか辞書に載っている単語+年号とか)ならSHA-2等でハッシュ化しても現実的な時間で解析できちゃうので無駄です。ソルトとストレッチングやっててもWebサーバで1秒以下で演算できるレベルならGPUクラウドで解析できちゃうし、強度の高いストレッチングやるためにパスワード認証するWebサーバのバックエンドにGPUクラウド使うわけでもないでしょ?
無論、10文字のランダムな英数字だとか、英単語を5個ぐらい繋げたパスワードとかはGPUクラウドで簡単に解析できないので、ハッシュ化の意味はあります。で
高木浩光大先生も、パスワードを使いまわししないのが常識になったのだから、パスワード表示機能はあっても良いと言い出してるね。
高木浩光先生はパスワードの定期的変更不要派で、パスワードのハッシュが漏洩する可能性を考慮してしまうとパスワードの定期的変更が必要派に餌を与えてしまうってことも影響しているだろうけどね(生パスワードの場合漏洩したら解析時間必要なく即悪用される可能性があるので定期的変更しても無駄だが、パスワードハッシュは解析に時間がかかるので定期的変更で攻撃を防げる場合がある)。
2012年 https://twitter.com/HiromitsuTakagi/status/198005727317598208 [twitter.com] > しかし、業界の中にはそういう常識を共有していない愚事業
>>パスワードはサイト毎に別のものを設定するのが当然となってしまった今日これって何処から導かれた結論なのか気になります知らないだけで流出したアカウント情報が元に同一所有者のパスワード被りが近年激減してるとかなんだろうか・・・それとも、パスワード設定時に「他のパスワードと同じ物を使用しないでください」って書かれることが当然になって、責任の所在がパスワードを使いまわしているユーザーに移動したから?
高木先生が言ってるのはたぶん、『セキュリティのために誰が何をやるべきか』みたいな話。
平文のパスワードが漏れると、それを使い回しているユーザに被害が出るので、サービス提供側が、ユーザのパスワードを暗号化するなどして守るべきだった。 ↓暗号解析が容易になって、ちょっと暗号化したくらいでは流出した際の被害は防げなくなってしまった。 ↓サービス側の暗号化では安全が確保できないので、ユーザ側で『パスワードを使い回さない』という対策をとるしかなくなった。 ↓ユーザ側で対策するしかないなら、サービス側は暗号化しない方がむしろ利便性高くていいんじゃないか?
みたいな感じ?
暗号化では無くて一方向のハッシュ化。暗号化だと復号できるので流出時の被害が甚大。1111みたいな雑なパスワードも256文字のパスワードも安全性に差がなくなってしまう。ハッシュ化だと力業で計算するしかなく、強度に差が出る。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
日々是ハック也 -- あるハードコアバイナリアン
いい加減に (スコア:0)
パスワードを復元可能な形式で運用していたら社長以下専務・常務クラスまで獄門晒し首、仕様を作ったエンジニアも二度とIT業界での仕事ができないようにする、ぐらいしても良いのではないか。
GPUクラウドの時代、ハッシュ化しても無駄です (スコア:3, 興味深い)
GPUクラウドの時代、一般人が付けるような簡単なパスワード(人名+誕生日とか辞書に載っている単語+年号とか)ならSHA-2等でハッシュ化しても現実的な時間で解析できちゃうので無駄です。
ソルトとストレッチングやっててもWebサーバで1秒以下で演算できるレベルならGPUクラウドで解析できちゃうし、強度の高いストレッチングやるためにパスワード認証するWebサーバのバックエンドにGPUクラウド使うわけでもないでしょ?
無論、10文字のランダムな英数字だとか、英単語を5個ぐらい繋げたパスワードとかはGPUクラウドで簡単に解析できないので、ハッシュ化の意味はあります。
で
高木浩光先生も、一周回ってパスワード表示機能は妥当と言い出してる (スコア:4, 興味深い)
高木浩光大先生も、パスワードを使いまわししないのが常識になったのだから、パスワード表示機能はあっても良いと言い出してるね。
高木浩光先生はパスワードの定期的変更不要派で、パスワードのハッシュが漏洩する可能性を考慮してしまうとパスワードの定期的変更が必要派に餌を与えてしまうってことも影響しているだろうけどね(生パスワードの場合漏洩したら解析時間必要なく即悪用される可能性があるので定期的変更しても無駄だが、パスワードハッシュは解析に時間がかかるので定期的変更で攻撃を防げる場合がある)。
2012年
https://twitter.com/HiromitsuTakagi/status/198005727317598208 [twitter.com]
> しかし、業界の中にはそういう常識を共有していない愚事業
Re: (スコア:0)
>>パスワードはサイト毎に別のものを設定するのが当然となってしまった今日
これって何処から導かれた結論なのか気になります
知らないだけで流出したアカウント情報が元に同一所有者のパスワード被りが近年激減してるとかなんだろうか・・・
それとも、パスワード設定時に「他のパスワードと同じ物を使用しないでください」って書かれることが当然になって、
責任の所在がパスワードを使いまわしているユーザーに移動したから?
Re: (スコア:1)
高木先生が言ってるのはたぶん、
『セキュリティのために誰が何をやるべきか』
みたいな話。
平文のパスワードが漏れると、それを使い回しているユーザに被害が出るので、
サービス提供側が、ユーザのパスワードを暗号化するなどして守るべきだった。
↓
暗号解析が容易になって、ちょっと暗号化したくらいでは流出した際の被害は防げなくなってしまった。
↓
サービス側の暗号化では安全が確保できないので、ユーザ側で『パスワードを使い回さない』という対策をとるしかなくなった。
↓
ユーザ側で対策するしかないなら、サービス側は暗号化しない方がむしろ利便性高くていいんじゃないか?
みたいな感じ?
Re:高木浩光先生も、一周回ってパスワード表示機能は妥当と言い出してる (スコア:0)
暗号化では無くて一方向のハッシュ化。
暗号化だと復号できるので流出時の被害が甚大。
1111みたいな雑なパスワードも256文字のパスワードも
安全性に差がなくなってしまう。
ハッシュ化だと力業で計算するしかなく、強度に差が出る。