パスワードを忘れた? アカウント作成
321580 story
情報漏洩

PlayStation Networkの情報漏洩事件、Sonyが状況を説明 77

ストーリー by headless
説明 部門より

あるAnonymous Coward 曰く、

ソニー・コンピューターエンターテインメントは4月27日、PlayStation Network/Qriocityの障害と情報漏洩に関する報告を「重要なお知らせ」として発表した。また、PlayStation Blogでは、Q&A形式で状況を説明する記事が掲載されている (重要なお知らせPlayStation Blogの記事)。

報告によると、クレジットカード情報は暗号化されており、攻撃者がデータを入手した形跡は見つかっていないとのこと。ただし、攻撃者がクレジットカード情報を入手した可能性は完全には否定できないともしている。クレジットカード裏のセキュリティーコードについてはサービス入会時に入力を求めないため、システム側にも保存されていない。

攻撃者が入手したとみられるデータは、クレジットカード情報と別に暗号化なしで保存されていたアカウント情報だ。攻撃者が入手したデータを悪用する可能性もある。電子メールや電話、郵便などでクレジットカード情報や個人情報を入手しようとする手口には十分注意してほしいとのことだ。また、アカウント情報にはパスワードも含まれるので、サービスが再開されたらパスワードをすぐに変更する必要がある。他のWebサービスなどで同じパスワードを使用している場合、すぐに変更することが推奨される。

サービスは4月26日から数えて1週間以内(5月2日頃まで)に再開したいとのことだが、ネットワークの安全性に確信が持てるようになるまでは再開しないともしている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • パスワードも流出して変更を呼びかけるというのは、平文か復元可能な状態で保存していたのでしょうか。
    ユーザーパスワードはハッシュだけ保持するという古くから常識とされている鉄則さえ守っていれば、パスワード自体は流出しないと思うのですが、
    ソニーともあろうものが世界展開するサービスでそんなズサンな実装をしていたということなのでしょうか。
    専用端末からのみアクセスされるクローズドなオンラインサービスだから、クライアント側で防げば大丈夫と手を抜いてしまったという所かしら。

    • 今の所平文かどうかははっきりしませんね。ただ変更を勧める理由としては
      1. 平文で保存していた
      2. 単純なハッシュ化だけだった
      3. ハッシュ化されたパスワードに加え、ハッシュ方法(プログラムのソース)が漏洩した

      の3通りが考えられそうです。
      2番と3番は時間をかけて解析したり、辞書攻撃の範囲のパスワード(のハッシュ)を探したり出来ますので
      平文でなくても変更を呼びかける可能性はあるでしょう。

      親コメント
      • by Anonymous Coward on 2011年04月29日 17時14分 (#1944956)

        2,3 の前提がなくても,ハッシュ値が漏洩した時点でユーザにパスワードを変更させるべきだと思います。

        辞書攻撃や総当たり攻撃に対しては,ハッシュ関数の強度よりも設定されたパスワード自体の強度の方が問題になるのではないでしょうか。

        ハッシュ方法については,パスワードとハッシュ値の組み合わせが一つでも分かっていれば推定可能です。
        完全オリジナルのハッシュ関数や秘密鍵を使うようなハッシュ方法ならば,推定は難しいかもしれませんが。

        システム側から「パスワードはハッシュ化しているので大丈夫」なんて言ったら,それこそがズサンな対応ではないでしょうか。

        しかも,「再開後にユーザ各自で変更することを推奨」なんて方法ではなく,「すべてのアカウントをいったん無効化し,再開後にユーザに再アクティベートしてもらう」といった方法をとるべきです。(たぶん,他のコメントで「パスワード初期化」を言われているのはこのことだと思っています。)

        すでにパスワード情報が漏洩してから時間が経っていますので,サービス再開直後に不正使用される可能性は高いでしょう。パスワード変更をユーザ任せにするのは,「瑕疵責任の一部をユーザに転嫁できる」ということ以外に意義はないように思います。

        親コメント
        • ハッシュ方法については,パスワードとハッシュ値の組み合わせが一つでも分かっていれば推定可能です。

          それが成り立つのが「2. 単純なハッシュ化だけだった」場合ですね。

          完全オリジナルのハッシュ関数や秘密鍵を使うようなハッシュ方法ならば,推定は難しいかもしれませんが。

          ハッシュ関数自体は既存のもので良いです。(弱すぎなければ)
          それにソルトとストレッチング、そしてユーザーIDをうまく組み合わせて実装しましょう。

          例えばユーザー"abc"とユーザー"def"が、ともに"password"というパスワードに設定していた場合でも

          abc:'2f021051f8a440282f6ec79445404a683a121130b385c80f24826fdc32b28113'
          def:'db5b7038afdfee6227c52fd5d8d73f87d3ab3c3483120ea11aa874645a183565'

          と別のハッシュ値になるよう実装すべきです。
          ##それでも実装コードが漏れると駄目です。

          この考え方やサンプルコードは徳丸さんの書籍 [hash-c.co.jp]のp327-328に詳しく載ってますので是非読んでみてください。
          ##というかまんま受け売りです。(^_^;)

          親コメント
          • by Anonymous Coward
            > ##それでも実装コードが漏れると駄目です。

            サーバに不正に侵入された時点で、実装もバレていると考えるべきです。
            そのサーバ上には実装のバイナリがあるでしょうから、バイナリを逆アセンブルorコンパイルすることで、どのような実装なのかもバレてしまうでしょう。
          • 車輪の再発明をしなくても正しいやりかたが標準規格として公開されているわけだから
            • HMACを使っても脆弱ではないのですが、異なる目的のためのHMACをパスワードの保存に使う意味はあるのでしょうか。

              HMACは受信したメッセージについてそれが秘密鍵を持った相手が書いたメッセージであり、内容が改竄されていないと保障するものです。
              アルゴリズムとしては秘密鍵とメッセージを合わせてハッシュを計算し、それをさらに秘密鍵と合わせてハッシュを取ります(実際にはもう少し細かく規格化されています)。

              なぜハッシュを1回ではなく2回取るのかというと、ある種のハッシュ関数には、メッセージの後ろに工夫したデータを付けると秘密鍵が漏れていなくてもハッシュ値を変えずにメッセージを変えられてしまう脆弱性があります。
              これを防ぐために鍵付きハッシュを2回かけて1回目のハッシュ値を隠しています。

              この1回だけハッシュを取る方法に対する攻撃は、攻撃者に平文メッセージが知られている場合に起きます。
              しかし、パスワードを保存する用途では平文メッセージにあたるのは平文パスワードです。
              当然攻撃者は平文パスワードを知りません。

              そのため2回ハッシュをかける意味はないのではないでしょうか。
              親コメント
    • by Anonymous Coward on 2011年04月29日 17時34分 (#1944961)
      http://blog.us.playstation.com/2011/04/27/qa-1-for-playstation-network... [playstation.com] クレカ情報以外は暗号化していないと書いてますね ハッシュの保存って暗号化とは違うのでしょうけど PS3からクレカ情報をSSLのみの暗号化で送ってたらしいので サーバ側でパスワードを平文で保存というのは十分にありあえます
      親コメント
    • by Anonymous Coward
      PSNはPCからもソフトを購入してPSPに転送出来ます。なのでクローズドってわけではありません。
    • by Anonymous Coward

      soltつけて通信するケースでもハッシュ保存でいけるんでしたっけ?

    • by Anonymous Coward

      ハッシュ化して保持は少なくとも「常識」ではあると思うのだけど、
      氏名住所メアドも同様に漏出不可な情報である以上、パスワードだけ別枠で強度を高める事に
      意味はあるのだろうか、という疑念が少し頭をよぎる。
      今回のような事故が起きるとすれば、被害を縮小する効果は確かにあるのだけれど、
      「情報の漏洩を予め想定して」という対応は何か割り切れない思いがある。

      パスワードは漏洩が認識さえ出来ればリセットで対応する事ができるし、
      そのサービス内のみで有効なユーザ権限を奪われるだけなので被害は限定的。
      使い回しをするユーザは、そもそも漏洩事故よりも大きいリスクを抱えている。
      ユーザパスワードって、個人情報に比べれば大した情報じゃないのでは、という気もしてくる。

      まあ仮に理屈がそうであっても、平文で保持するのは中々度胸がいると思うけど、
      別のメリットや必要性があれば平文保持もあり得る事なのかな、と。

      • 要するに想定外という言い訳が通用するわけですね、わかります。
        親コメント
        • by firewheel (31280) on 2011年04月29日 23時11分 (#1945022)

          >要するに想定外という言い訳が通用するわけですね、わかります。
          いや「想定内だけど、トータルのリスクを最小化する上で必ずしも重要では無い」ってことじゃ。
          「喫煙や過労の方が健康被害が大きいのに、微量の放射線被爆なんか気にしてもしょうがないよね」的な。

          この手のサービスは何らかの形のパスワードリセットの仕組みを持ってるのが普通だし、
          パスワードリセットができる情報を取得されたらパスワードの暗号化なんて意味が無くなる。

          むしろ重要なのは、#1944963 にも書いてあるけどパスワードの使い回しをしないことの方だな。
          PSNとTwitterとネットバンクで同じパスワードを使い回してる人がいるとすれば、
          まずすべきことはPSNに保存されたパスワードの暗号化ではなく、それぞれに
          別個のパスワードを設定すること。

          親コメント
  • by Anonymous Coward on 2011年04月29日 14時19分 (#1944882)

    クレジットカードのお漏らしが確定していないけど、仮におねしょがバレたので親にこっぴどく叱られる………いや、カード情報の漏洩事故を起こすと、クレジットカード利用の再開をするためにはPCIDSSの監査を受けないとダメなんで時間がかかるでしょう(ただ、逆転ウルトラC技があるみたい)。

    それまでの間はプリペイドカードだけとか、無料のサービスの範囲だけと言われてもなぁって気がします。

    最悪の事態を想定すると「住所や生年月日+クレジットカード情報」のセットなんで、不正利用しても使える可能性大ですね。闇のマーケットとやらに売ってもいい金になるでしょう。

    • by Anonymous Coward on 2011年04月29日 23時37分 (#1945026)

      クレジットカード会社が注意書き掲載してます(おそらく一番早く掲載した三井住友カード [smbc-card.com])。

      が、各社似たりよったりで「ひな形でもあるのかよ!」って感じ。

      セゾン/UCカードは「現在、本件に関するお問い合わせが大変多くなっており、当社インフォメーションセンターの電話が大変繋がりにくくなっております。何卒ご容赦くださいますようお願い申しあげます。」という一文が追加されていますが、この辺のコールセンター増強対応費用も請求できるんですかねぇ?(単にGW対応で混んでるんじゃないの?)

      ※今日セゾンに電話したら、比較的短時間でオペレーター出たよ

      親コメント
  • by Anonymous Coward on 2011年04月29日 15時21分 (#1944908)
    「サービスが再開されたらパスワードをすぐに変更する・・・」なんて簡単に書いているけど、サービス再開を待って世界中のユーザが一斉にログインしてパスワード変更しようとしても、ネットワークかサーバが処理できなくて、1週間くらいログインすらできない状態が続くような予感がするのですが・・・

    一刻も早く対処しようとして必死にログインしようとするユーザに対して、不正ユーザと見なした処置が施されて、さらに酷い状態になり、それに対してクレームを言うと「不正にログインされて困った事が起こるよりいいでしょ。」という対応をしてしまったために、混乱が混乱を呼ぶ状態になり、・・・

    なんか別の方法を考えておいた方がよさそうですよ、粗煮飯さん。
    • 自動的にパスワードを変更できるスクリプトが必要かも。出回ったら使いたくないけど。
      --
      -- 哀れな日本人専用(sorry Japanese only) --
      親コメント
      • by Anonymous Coward
        パスワードの変更を強制するファームウェアの提供を検討しているそうです。
        ファームウェアをアップデートして、再起動すると、PSNのパスワード変更を強要されるという感じみたい。
  • by Anonymous Coward on 2011年04月29日 15時57分 (#1944927)

    ソニー、賠償2兆円超える可能性も 次期トップ争いに大きな影響 [msn.com]

    さよならPS4・・・ソニーはこの先生きのこれるのだろうか?
    もう想定外の天災ということで免責してもらうか、政府に立て替えてもらう、または国有化しかないかもしれない。

    # お詫びとしてPSNポイント配布・・・とかでお茶を濁すのが(会社的に)ベストっぽいけど、ここまで話題になるとたぶんそれだけじゃ無理だよね?

    • 本当に必要なら支払えばいいけど、欧米のバッシングの対象になりそうで怖い。トヨタのプリウスしかり。今回はプリウスと違って、完全に流出しているが。

      2兆円の算出とかは、それから来ているのかな?とも。素人判断なら、4桁億円が妥当でしょう、と思いましたが。

      --
      -- gonta --
      "May Macintosh be with you"
      親コメント
    • by Anonymous Coward on 2011年04月29日 16時25分 (#1944938)
      せめてもう1日早く公表していればねぇ…
      このタイミングじゃ、
        タブレットPCの発表まで公表しなかった=ユーザ軽視企業
      と思われてもしかたない。

      #しかし「わたしはXboxでよかった」はないだろ>某新聞記事
      親コメント
    • >もう想定外の天災ということで免責してもらうか、

      その理屈が通るなら、頭悪い奴が最強だな。

      親コメント
  • by Anonymous Coward on 2011年04月30日 2時44分 (#1945047)
    http://mpw.jp/blog/2011/04/506.html によれば、
    PSNのフロントサーバはApacheとPHPで、
    セキュリティパッチが当たっていなかったようです。
    (真偽の程は分かりませんが)
    • 仮にここで書かれてることが本当だとして、(まあ日本企業ではありそうな話なんだが、)
      PHPと聞いた時点で、セキュリティ対策する気があったのか疑問だったりする。
      #実際に使っていて、最も悲しくなる言語がPHPだった。

      どうせプログラマに払う金をケチるためのPHP採用なんだろうし、そういう
      「鉄筋減らしてコストダウン」を狙う組織が、品質やセキュリティ対策のために
      追加の金を払うとは、あまり期待できないのである。

      親コメント
  • by Anonymous Coward on 2011年04月29日 14時26分 (#1944886)
    It's a Sorry
  • by Anonymous Coward on 2011年04月29日 14時30分 (#1944889)

    >サービスが再開されたらパスワードをすぐに変更する必要がある。

    パスワードのリセットをしたらいいんじゃないかと思うんだけど
    連絡先がクラックされてたら更に傷口広げるからしないのがこういう場合の定石なのかな?

    • 全情報が漏れた場合、どうやって本人確認すんのか、本物からの通知を確認するのかとかの問題も。

      リセットだけならできるけど、ユーザーだけに再設定してもらう方法が難しいと。

      親コメント
    • by Anonymous Coward

      タレコミにあるPlayStation Blogの方には、ネットワークが復旧した時点で全ユーザにパスワードを変更させる予定とありますね。(英文なので全部読んでないのと正確な訳じゃないのはごめん)

  • by Anonymous Coward on 2011年04月29日 14時32分 (#1944892)

    急にマルウェア添付系の英語spamが来だしたけどやっぱりそういう事か…
    潰れて欲しいわ。

  • by Anonymous Coward on 2011年04月29日 14時43分 (#1944895)
    USアカウントのメールアドレスには4/28にPlayStation_Network@playstation-email.comから
    Important information regarding PlayStation Network and Qriocity services
    というサブジェクトのメールが来たけど、日本のアカウントの方には来ないなあ。
    というかPlayStation_Network@playstation-email.comは信頼できるメールアドレスなんだろうか。
    • by Anonymous Coward on 2011年04月29日 15時03分 (#1944904)
      日本のアカウントには
      info@psn.jp.playstation.com
      からメールがきてました。
      正規メールはplaystation.comドメインになる様です。

      私のUSアカウントには
      PlayStation_Network@playstation.innovyx.net
      PlayStation_Network@playstation-email.com
      からメールがきてましたが、内容的にもPSNのパスワードを要求したりと、フィッシングっぽいです。

      というかUSアカウント用メールは、PSN専用で、今までSPAMが来たことが
      なかったので、もう既にSPAM業者の手元に渡ってしまったということでしょうか。
      親コメント
  • by Anonymous Coward on 2011年04月29日 18時45分 (#1944981)

    昨年11月にPSNのアカウントがハッキングされたという方の話。
    http://d.hatena.ne.jp/Nachbar/20110428/p2 [hatena.ne.jp]

    私が思う疑問は、本当にここ最近だけの被害なの?というところ。
    他のサービスでアカウントハッキング被害が発生したら、たとえ被害が限定的であっても
    ユーザーにアナウンスはすると思うんですが、PSNについては全然そんなの見かけなかったです。
    実は散々被害が出てたのにひた隠しにしていたのでは、と疑問が…。
    どうも今回の後手後手なアナウンス状況を見ているとそう思わざるをえないわけですよ。

    • by Anonymous Coward

      そのハック事件ではツイッターやはちま奇稿俺的ゲーム速報jinなどのブログを使って
      信者達が被害者をボコボコに炎上させてましたね
      そういう周りを取り囲む人間も含めた体質が今の事件に繋がっているんでしょう

  • by Anonymous Coward on 2011年04月29日 20時41分 (#1945001)
    クレジットカード番号は暗号化されているから、流出したけど安心してくださいってことでしょうか?

    以前からマスターキーが解読されたり、様々なセキュリティ問題があったのに今さら信用したくてもできない・・・。
    その暗号化を複合するキーもサーバーから一緒に流出していそうな気がする。
    • by Anonymous Coward

      そしてさらにメールで問い合わせようとすると
      住所、電話番号全て必須入力のフォームが現れるのです!

  • by Anonymous Coward on 2011年04月30日 1時02分 (#1945037)
    > サービスは4月26日から数えて1週間以内(5月2日頃まで)に再開したい あ、そうなんだ。 週刊トロ・ステーションの5月6日配信も延期するらしいから、もっと後になると思ってた。 http://www.jp.playstation.com/psn/torostation/20110428.html [playstation.com]
typodupeerror

日々是ハック也 -- あるハードコアバイナリアン

読み込み中...