パスワード再発行に必要な「秘密の質問」は役立たず 91
ストーリー by hylom
電話で破られるなら意味ないし 部門より
電話で破られるなら意味ないし 部門より
あるAnonymous Coward 曰く、
本家/.で、「Secret Security Question」(パスワードを忘れた際などに尋ねられる質問は役立たずだ、という話題が紹介されている。
「秘密の質問」では、たとえば「ペットの名前」や「通っていた小学校」、「母親の旧姓」といった質問が用意されているが、今日ではGoogle検索のスキルがあればその答えが簡単に入手できてしまうものも多い。これらは時として、パスワードを破るよりも簡単に破られてしまう。
そこで対策として挙げられているのが、ランダムな答えを設定することだ。もちろんその場合、パスワードを忘れた際にはやや面倒なことになるが、そういった場合はその会社のサポートに電話をすればいい、としている。
項目が必須なら (スコア:3, 興味深い)
パスワードマネージャ(KeePass)に登録&ランダム文字列ですね。
活用するくらいなら、リセットするほうがマシなこと多いよね...
# 用は辞書アタックに負ける項目なんて穴でしかないんですよ。
M-FalconSky (暑いか寒い)
Re:項目が必須なら (スコア:3)
人生は七転び八起き、一日は早寝早起き
人に言いたくないことを答にする (スコア:2)
昔通っていた学校だの生まれた病院だの母の旧姓だのクレジットカード番号の下四桁だのは、
言いふらしはしないが調べようと思えば調べられる程度のもの。秘密とは言いがたい。
暗証番号に「昔付き合ってた彼女の電話番号」を設定してるというコメントを見たことあるけれど、
それと同じで「絶対に人には言いたくないこと」をキーワードにしておけば、ずっとバレにくいと思う。
Re:人に言いたくないことを答にする (スコア:1)
クレカの下4桁はさすがにアレだけど、(amazonで無くとも、クレカ会社からの通知なんかにも一部ぼかしたクレカ番号が入ってたし)
秘密の質問自体には意味があると思う。
でもドロップりストの決まった質問から選ぶ奴はダメ。
フリー入力できる質問にしとけば、まず特定は不可能。
Re: (スコア:0)
>言いふらしはしないが調べようと思えば調べられる程度のもの。
相手がまじめに設定していることが大前提ですが、
それこそfacebookから入手できるEmailアドレスと学校、出身地などで攻撃できそうですね。
>「絶対に人には言いたくないこと」をキーワードにしておけば、ずっとバレにくいと思う。
親に一時的に貸すためにパスワードを変えるハメになりましたよ。
Re:人に言いたくないことを答にする (スコア:2)
前の会社、秘密の質問は(答えだけでなく質問自体も)自分で設定出来て、
パスワードリセットは要電話だったので、
「こんな質問、本当に電話で訊いて良いんでしょうか?」とヘルプデスクの子に訊かれたことがあった
最凶な秘密の質問 (スコア:1)
コレ [mie-u.ac.jp]を思い出した
Re:最凶な秘密の質問 (スコア:3)
あなたが高校のときに告白された人数は?
席替えで隣になった子からあなたの隣で良かったと言われた回数は?
よく彼女と手をつないで下校した通りの名前は?
学校の制服のまま最初にデートした場所は?
あなたの中学のとき最初にキスした場所は?
修学旅行の夜、こっそり部屋を抜け出して会っていた子の名前は?
体育祭のとき、あなたが優勝した種目は?
...orz
And now for something completely different...
Re:最凶な秘密の質問 (スコア:2, おもしろおかしい)
質問の答えは? [リア充爆発しろ ] [送信]
# 突破ですか?そうですか
Re: (スコア:0)
何か、以前と比べてずいぶんゲッソリと痩せられたような>奥村先生
秘密の質問を発明した奴は死ねばいいと思う (スコア:1)
そもそも辞書攻撃を受けないために意味のある言葉をパスワードに
するのはやめましょうっていうのと真っ向から矛盾するじゃないか。
何よりむかつくのは、秘密の質問を必ず設定しないと登録できないサイトがあること。
どうしろっていうんだ、まあパスワードと同じ文字列を設定するのが無難ですかね…
現状に合わない伝統は消えるべき (Re:秘密の質問を発明した奴は死ねばいいと思う (スコア:3)
発明時は十分使い物になったんだから、タイムマシンで遡って殺したりしてはいけない。
パスワードに"12345"とか設定するヤツがパスワード忘れたの設定した記憶がないの言ってくることから身を守れる良いサポートコスト削減策だったんだから。
# 確かアメリカだと母親の旧姓を本人確認に使う事が良くあるから、だったような……
# ホテルなんかのセキュリティの緩いところの確認用ね。
状況が変わって其処が最も脆弱で簡単に突破されるようになったんだから、棄てるべきってのならその通りだけどね。
あと、秘密の質問の答えにパスワードを入れるのは止めた方が良いよ。
秘密の質問にはパスワードロックが無い(何回繰り返しても問題なく応答する)サービス、いくつかあったから。
Re:秘密の質問を発明した奴は死ねばいいと思う (スコア:1)
> どうしろっていうんだ、まあパスワードと同じ文字列を設定するのが無難ですかね…
ほぼ確実に平文で保存されるだろうから無難ではないような…
どうせ使わないなら適当な乱数を設定しておけば良いのでは?
1段ひねる (スコア:1)
通っていた小学校>タマ
母親の旧姓>かもめ第三小学校
みたいに、回答をずらすとか、
自分ではない架空のキャラクタあたりの設定を持ってくるとか、
1番とか最初、とか書かれた質問に必ず3番目を答えるとか、
他人に教えない自分ルールを用意して、そのルールに従った上で『正しく』答える。
とかはどうでしょうね。
Re:1段ひねる (スコア:5, おもしろおかしい)
自分ではなくて姉のプロフィールから答えることにしています。
ちなみにその姉ってのは実在しない。
Re:1段ひねる (スコア:2)
別にパスワードは1つでもいいのよ?まぁポチより長い意味不な言葉がいいかと思いますが
通っていた小学校>ポチ
母親の旧姓>ポチ
好きな食べ物>ポチ
好きな動物>ポチ
飼っているペットの名前> #使わないようにする
まぁこの手の質問は、メールでパスワード再設定の案内メールがくる仕組みが多いから余り気にしていませんね。
もし横取りするとしたらメールアドレスの改竄かメール盗聴が必要になると思うけど、
其処までされるほど金を持ってるとかでもないしなぁ…仕組み的には結構危ないのかな??
Re:1段ひねる (スコア:1)
それを言うならメンチだろ……
Re:1段ひねる (スコア:1)
メンチでは?
Re: (スコア:0)
好きな食べ物>甘い食酢
好きな動物>青い白熊
飼っているペットの名前>ポチの飼い主
好きな言葉>色の無い緑の概念が猛烈に眠る
Re: (スコア:0)
パスワードを忘れるような人はそんなルールも忘れてしまうのだ…
未来町内会 (スコア:2)
笑えるんだけど笑えねえ。
http://ikesanfromfrneore.blog64.fc2.com/blog-entry-254.html [fc2.com]
http://ikesanfromfrneore.blog64.fc2.com/blog-entry-266.html [fc2.com]
http://ikesanfromfrneore.blog64.fc2.com/blog-entry-282.html [fc2.com]
実際にランダムで良ければ、十分に長くて(30~100桁くらいの)本当にランダムな
パスワードを設定しておくだけでほとんど困らない。
それさえ忘れた時に使うためのものなんだから、あまりに捻ると忘れてしまうと思う。
「秘密の質問」なんていらないぜぇ (スコア:1)
「秘密の質問」なんていらないぜぇ、どうだワイルドだろ~。
がいいと思うのですが、会員登録時に「秘密の質問」欄のあるサイトは、設定しないと、登録させてくれないサイトがほとんどです。安全性強化のために、スキップさせてくれてもいいのに、と思うのですが。
関連ストーリー (スコア:1)
関連ストーリーに是非これも。
リマインダー機能を外せ [srad.jp]
2002年に警視庁がパスワードリマインダを使うことについて改善要請を出してるのに、十年経ってもまだこのありさまだよ。
Re:関連ストーリー (スコア:1)
「無能なオマワリの言う事なんて聞いてられるか」って
みんな言ってるよ。
質問も自分で入力させるのがあったな (スコア:1)
どこだったか忘れたけど、秘密の質問設定時に質問文を自分で入力、それで思いつく文章をパスワードとするというのがあったな。
歌詞や小説なんかから取ってくると検索されやすいからアウトだけど、個人的な記憶で「こう言われるとこう返しちゃうな」ってフレーズを入れておけばまず忘れない、と。
まぁ、質問に何を書くかで悩むんだけどね。
もう使ってないので。1つ晒す。 (スコア:1)
質問: チュニカ
解答: みちる
この関連性がわかる人はアレゲポイントを3つ加えて、 228 へ。
もちろん「チュニカ みちる」で検索すれば理由は、わかる。 だがチュニカでは何なのかサッパリわからない。
なぜこのリマインダを廃止したかって?
嫁が突破したからだよ!(身内に弱いということですね)
==========================================
投稿処理前プレビュー確認後書込処理検証処理前反映可否確認処理後……
身内に迷彩工作が不足していたわけですね (スコア:1)
価値観や愛好するものを共有するごく親しい相手に対するひめごとをどれだけ機密に保てるかというケーススタディとして貴重な報告ありがとうございます。
二次元嫁ってほんと全能だなあ。電気羊どころじゃないいい稼ぎでないとやっていられないということがよくわかる。
サービス提供側が「役に立たない使い方」をしてるだけに見える (スコア:1)
サービス側が「秘密の質問」をどんな用途で使ってるか次第で、まったく様相は変わってきませんかね。
①「秘密の質問」がパスワードと同等に機能する。
つまり、入力すると、パスワード認証した場合と同じ権限でセッションが張られる。
⇒記事の通り。ただし、これは「役立たず」というものではなく、明らかに不都合のあるセキュリティホール。
こんな阿呆なWebサイト、今のところ見たことありませんが。
②「秘密の質問」を入力しても権限は得られず、正規ユーザに向けて「何かの情報」が通知されるのみ。
例えば、「あなたのメアドにパスワード送ったからね」とか「パスワード変更専用のURL送ったからね」的なやつ。
⇒たとえ「秘密の質問」をクラックされても、正規のユーザに鬱陶しいメールが何通も届くのみ。
悪意あるユーザが何か得をすることはない。
ので、セキュリティレベルの低い質問を設定していても、たいした実害はない。
てか、大抵のWebサイトは②か、それに準じた使い方してると個人的には思ってるんですが、そうでもないんですかね。
例えるなら、「秘密の質問」ってのは火災報知機のボタンの前にプラスチックの囲いが付いてるように、
・押されても、押した側に何かメリットがあるわけではない(愉快犯は別だけど)
・ただ、気軽に押されると迷惑なので、ちょっと押しにくくしてある程度
というくらいの位置づけで使うべきで、その用途においては十分意味のあるものだと思うんですが、皆々様はどう考えますかね。
Re:サービス提供側が「役に立たない使い方」をしてるだけに見える (スコア:2)
気軽に押されると迷惑なので押しにくくする目的なら、「秘密の質問」じゃなくても例えばCAPTCHAでいいよね。
「秘密の質問」はサイトによって扱いがまちまちであり、かつその「まちまちさ」を利用者が把握し辛いのが難点かと思う。
「秘密の質問」はパスワードっぽいニュアンスで入力を求められて、パスワードっぽい感じで認証のリカバリに使用される印象だけれど、そのリカバリプロセスの詳細な部分を把握して入力する人ってきっと少ないよね。
こういった「利用者がその入力項目の秘匿性を理解し辛い」ものは脆弱性になりがちなので、廃止した方がいいと思ってる。
Re:サービス提供側が「役に立たない使い方」をしてるだけに見える (スコア:2)
どのレベルまで押しにくくするかによるけど、元ACの求めているレベルだとCAPTCHAでもいいんじゃないの?と言う話。
例としてCAPTCHAを挙げたけど「そのサイトに登録した情報で、本人が思い出せそうなもの」でも良いかな。メールアドレス(※IDがメアドではない場合)や生年月日など。それとCAPTCHAを組み合わせても良いし。
確かにこれらより「秘密の質問」を使った方が単体で見たセキュリティは恐らく高くなるだろうけれど、前述したデメリットの方が大きいと現状は思ってる。
メアドが一致しないと質問を突破しても無理では? (スコア:1)
簡単です (スコア:1)
多くの場合、答えはフリーワードなんだし、馬鹿正直に質問の答えを書く事もないでしょう。
質問とは関連性のない事を答えとして書けばいい。
まぁ、答えを覚えておく必要はあるけどね、答えではなく、答えを書く時の法則性を自分で定義して、
それを覚えておけば、比較的簡単に思い出せると思う。
Re:簡単です (スコア:1)
元々、「秘密の質問」自体がメイン・パスワードの代替手段でしょう。
幾つか手段があればどれかは思い出すであろうレベルのサービスだと思うので、
一つの手段を絶対的に思い出す事が出来るなんて、俺は言ってないです。
ヒューマン・エラーを100%否定出来ないから、こう言うサービスがあるんだろうし。
ランダム (スコア:0)
Re: (スコア:0)
今のヨメ(二次元)の名前を設定しても、2~3年も立てば自分でも分からなくなりそう。
ランダムよりたちがわるいぜw
ソーシャルハッキングを喰らっておしまいのような…>電話 (スコア:0)
アメリカGizmodeの記者はいかにしてiCloudのパスワードを盗まれデータを削除されたか [fladdict.net]
Re:ソーシャルハッキングを喰らっておしまいのような…電話 (スコア:0)
ハッキングの用法はもうそんなに気にしていない私ですが
この文脈だと"ソーシャルエンジニアリング"か
あるいは単に"ソーシャル手法"という表現の方がいいとおもうんだ・・・
好きな食べ物はドラえもん (スコア:0)
質問から推測できない答えにする
質問の答えを例えば必ず「ドラえもん」に決めておいて
サイト毎にそれぞれ的はずれな質問を選ぶ
「好きな食べ物は?」「母校の名前は?」「彼女の名前は?」
この場合、「ペットの名前は?」は危ないかも
Re:好きな食べ物はドラえもん (スコア:1)
「秘密の質問」に対して全て同じ回答を用意するなら、最初から「秘密の質問」なんて意味がありません。
あなたの例えの場合、パスワードを全て「ドラえもん」に決めているのと一緒です。
「秘密の質問」というのはパスワードの代わりになるものなので、パスワードと同程度かそれ以上の回答の困難さが必要です。
また、他でも「質問と関係の無い答えにする」という解決案が出てますが、それを覚えていられるなら、最初から質問と関係の無い文字列であるパスワードを忘れなきゃいいだけなので、やっぱり意味ありません。
結局のところ、「秘密の質問」なんて仕組みは従来のパスワードのセキュリティを脆弱にしただけです。
Re:好きな食べ物はドラえもん (スコア:1)
「秘密の質問」に対して全て同じ回答を用意するなら、最初から「秘密の質問」なんて意味がありません。
あなたの例えの場合、パスワードを全て「ドラえもん」に決めているのと一緒です。
「秘密の質問」というのはパスワードの代わりになるものなので、パスワードと同程度かそれ以上の回答の困難さが必要です。
いや本当にこれだよね。
パスワードに関しては各サイト同じものを入力する危険性を理解しているのに、秘密の質問の答えについてはなぜか各サイト同じものを入力することに危険を感じない人が多い気がする。質問を選んで正直に回答するより危険とも言えるのに。
解読が困難な程度にランダムな文字を突っ込んでおいて、結果的に機能を無効にしてしまうのが一番だな。
Re: (スコア:0)
似たような設定してます。
全然関係ない答え + "かも"
とか
全然関係ない答え + "だったりして"
とか
例えば
小学校の名前は?
答え:こんにちわかも
みたいな。
Re: (スコア:0)
自分もそうしてますね。
て言うか初めてこれ見た時、直球の答え書いちゃいけないよってフリだなってすぐ思ったんですが。
Re: (スコア:0)
えっと、意味のある単語、あるいは文章をパスフレーズにしている時点で、辞書アタックの格好の餌食のような気がしますが…。
万が一が実はあったり (スコア:0)
自分も役に立たないと思ってたけど
この間Gmailがログインできなくなった時に役に立った。(パスワードを忘れたのではなく恐らくアカハクされた)
答えは昔飼っていたペットの名前だけど
そのままではなく、実際にいつも呼んでいた時の名前にしていた。
例えば「ポチ」なら、「ポチリン」とか。
サポートだけど、サポートに対してメールを送ったが役に立たなかった。
サポートするにあたって、登録したおおよその日付や最後にログインした日とかそういった情報を要求されたけど
そんなの正直覚えていない。
それで本人証明ができないから無理ですってなった。
意味ねーじゃんと。
そんなのをいちいち覚えてるぐらいならパスワード忘れないわ。
自分の場合は忘れたんじゃないけども。
Re:万が一が実はあったり (スコア:1)
そんなの正直覚えていない。
げ。暴れていいレベルかな。
登録は同時に携帯アクセス設定もしたから、
そっちのメールが残っていたらわかるけど。
Re: (スコア:0)
いや、このストーリーでいう「役立たず」ってのは、「いざという時にパスワードを再発行できない」という意味じゃなく、「自分しかわからないって事は無い」って意味では?
アカハクした奴が秘密の質問を再設定していたらアウトだよね。
実質的に使わなくする (スコア:0)
秘密の質問を設定してもしなくても、どのみちメールアドレスにパスワードリセットさせるURLを送らせれる事が出来たりするので使う事自体がほぼ無いという。
結局タレコミと一緒の対処法なのですが、絶対に使えないようにここの強度をアホみたいに上げています。
知ってた (スコア:0)
だから別の方法を使っている
Re:秘密の質問の答えが (スコア:1)
Re:お前は今まで作ったアカウントの数を覚えているのか (スコア:1)
そもそもやたらとアカウント作らせようとする風潮がよくない。
アカウントさえ無ければパスワードもパスワードリマインダも要らんのに。
つまりOpenIDですね。
#厳密には「アカウントが無い」とは違うか