パスワードを忘れた? アカウント作成
15641482 story
情報漏洩

情報公開請求でコロナ患者管理システムの認証情報が漏洩、大阪市 47

ストーリー by nagazou
やらかし 部門より
大阪市で市民からの情報公開請求が行われた結果、「新型コロナウイルス感染者等情報把握・管理システム(HER-SYS)」の認証情報がそのまま記載されてしまい、ログインに必要なIDやパスワードなどが外部に流出していたことが判明した(Security NEXT産経新聞)。

情報公開請求に応じて交付した資料に本来行うべきマスキングしていなかったことが原因だった。4月20日に請求者に対して資料を送付したところ、問題が指摘されて発覚。遡って調査したところ、3月24日や4月20日に行われた情報公開請求を行った6人に対しても、マスキングなしで情報公開していたことが判明したとしている。同市ではすでにパスワードを変更し、新たなIDを厚生労働省に申請しているとのこと。
  • by eru (12367) on 2022年05月02日 12時34分 (#4242643) 日記

    紙媒体情報の電子化がそれほど進んでないとかかねぇ。
    # 先進国の中でも人件費が安い方なのに人件費を減らそうとする頭の悪さが原因なのか?

    ここに返信
    • by Anonymous Coward

      > 紙媒体情報の電子化がそれほど進んでないとかかねぇ。

      紙媒体情報の電子化が進むと、マスキングが自動になるんですか?

      • by eru (12367) on 2022年05月02日 14時03分 (#4242698) 日記

        紙媒体のままで自動化できるんですか?

        • by Anonymous Coward

          マスキング自体は電子データだろうが紙媒体だろうが自動化できるよね。

          問題はどこをマスキングするかだけど、これはどう自動化するの?

          • by Anonymous Coward

            ここがマスキングする箇所だ!!と念じれば自動でマスキングがかかる
            というのがITに疎い人の理想のイメージかと

        • by Anonymous Coward

          >>> 紙媒体情報の電子化がそれほど進んでないとかかねぇ。
          >> 紙媒体情報の電子化が進むと、マスキングが自動になるんですか?
          > 紙媒体のままで自動化できるんですか?

          もう一度聞くけど、
          「紙媒体情報の電子化が進むと、マスキングが自動になるんですか?」

          電子化を進めたほうが良いのは異論ないのだけれど
          関係のない事象を、さも関係ある事象のように記載するのはちょっとね・・・

          • by Anonymous Coward

            自動でできるシステムにしとくべきだけどね。

            • by Anonymous Coward

              頻度低いし少しでも安く開発とか言い出してマスク処理が要件に入っていなかったうえに、手作業でマスクしないといけないということがミリほども認識されてなかったとかかなあ

  • by Anonymous Coward on 2022年05月02日 12時35分 (#4242644)

    ハッシュじゃなくて生パスワードが漏れたということですか…?

    行政に都合の悪い情報は確実に黒塗りするけど、本当にマズいものの黒塗りをしないって何なの。

    ここに返信
    • by Anonymous Coward

      生のままのパスワード保持を禁止する生パスワード禁止法が必要だな

    • by Anonymous Coward

      ハッシュって何でしょう。IT後進国だから分かりません。

    • by Anonymous Coward
      いいかげんハッシュしたから安全とか言う老害は消えて
      • by Anonymous Coward

        IDパス漏れたら(IDパスでログインできるシステムなら)誰でもそれ使ってログインできるけど
        IDハッシュだと(クライアント側でハッシュを生成送信するシステムでなければ)システムに侵入してハッシュを突っ込まないとログインできない。ハッシュからパスを推測するのは困難。

        悪用の難易度が全然違うし、そこは安全と言い換えてもいい部分だよ。

        • by Anonymous Coward

          これサーバ側の情報じゃなくてクライアント側が使ってるIDとパスワードが漏れたんじゃないの?
          「職員はこれ使ってログインすること」とか書いてある紙をコピーしてそのまま渡しちゃったんだろう。
          ここをハッシュにするのは無理だよ。

          • by Anonymous Coward

            同じだよ。

            客に渡す紙だとしても生パスワードが記載されてるなら保存しない。
            保存前提ならなら期限付きの登録用ワンタイムパスワードを記載して、客はワンタイムパスワードでログインしてからIDとパスワードの発行を受ければいい。

            「生パスワードをサーバーに保存しないこと」
            これの本質的な意味が分かっていないからこういう間抜けなセキュリティホールができるんだよ・・・

            「書類だから生パスワード保存には該当しない」「これは仕方ない」とかもうアホじゃないかと。でもそんなのが大多数を占めてるのが今の日本の業界。溜息しか出ない。

            • by Anonymous Coward

              客に渡す紙だとしても生パスワードが記載されてるなら保存しない。
              保存前提ならなら期限付きの登録用ワンタイムパスワードを記載して、客はワンタイムパスワードでログインしてからIDとパスワードの発行を受ければいい。

              そうじゃなくて、HER-SYSは国のシステムで、大阪市はユーザ側。厚労省から付与されたIDと(おそらく自分で設定した)PWが書かれた紙を情報公開請求に対しマスキングせずに開示しちゃったということかと。
              産経の記事には

              大阪市では2月にハーシスの入力作業を口頭で外部の業者に発注していた問題が判

              • by Anonymous Coward

                黒塗り忘れたなんて些細な問題なのよ。そんな書類が存在してる時点でセキュリティ的にアウト。

              • by Anonymous Coward

                いやまあIT屋さんとしては「そんなもの持つな」で万事解決、終了!なんだろうけどさ(それはそれで理解はする)、行政機関が情報公開に際して非開示情報を開示したってのは「些細な問題」どころか大問題なんですよ。ID/PW以外にも開示しちゃいけない情報は実際に存在していて、それは「持つな」というわけにはいかないものもあるのでね。

          • by Anonymous Coward

            その想定をするには
            ・初回ログイン後のパスワード変更必須なシステムになって *ない*
            ・一定数もしくは全ての職員が共通のアカウントを使っている
            のどちらかを前提に置かないと発生しないけど、そもそもその想定される運用は問題がありすぎるんでは?

            • by Anonymous Coward

              担当者のうちの1人が自分のアカウントで初回ログインした後に、
              変更したパスワードを忘れないように書類にメモしていた、はありえるのでは?
              そのアカウントの権限のレベルは分かりませんが。

        • by Anonymous Coward

          まったく無関係のオフトピだが、Linuxのwifi設定の解説ブログで
          PSKのパスワードはわざわざ隠して「ハッシュ値」は載せてるのがあった。
          言い分によればパスワードは危ないから念の為隠すんだとか。

          パスワードには人に知られたくない言葉が入ってるのかな〜と
          思ってたんだが、もしかして「ハッシュ値」はパスワードより安全とか
          誤解してたんだろうか。
          # すくなくともWPA2は「ハッシュ値」で接続できます。

    • by Anonymous Coward

      ユーザーが入力したものなのか、システムが生成・発効したものなのかも気になる。
      前者だと個人情報が入っていたり他サービスでの使い回しのせいで、二次被害出るかも

  • by Anonymous Coward on 2022年05月02日 12時47分 (#4242652)

    「同システムには2段階認証が設定されているが、第三者のアクセスに対しても認証してしまった可能性があるという。」
    https://www.security-next.com/136220 [security-next.com]

    HER-SYSの二段階認証はサインインのたびに電話かSMSでコードを受け取ってそれを入力するタイプっぽいけど、第三者はそれをどうやって突破したんだろう。
    二段階認証担当者が効いてくる相手を確認せずに無条件でコードを教えていたとか?
    それなら二段階認証の運用に問題がありそう。。

    ここに返信
    • 二段階認証じゃなくて二要素認証(多要素認証)っていう言い方にならないのはなんでだろうな。
      # 本当に「二段階」認証の所があったりするけど。
      # パスワードで認証した後に別のパスワードって何の意味が…

      • by Anonymous Coward

        むしろ一段階で多要素認証してるところ少ないでしょ。
        SMSは100%二段階以上になってるし、認証アプリ使ってるとこも一度に入れないことの方が多い。

        #IDで一要素、パスで二要素目。この二要素認証でいいよ

        • > むしろ一段階で多要素認証してるところ少ないでしょ。
          > SMSは100%二段階以上になってるし、認証アプリ使ってるとこも一度に入れないことの方が多い。

          「二段階認証」はアクセス情報によって追加的な認証を求める(オンラインバンキングで振込の際にOTP入力を求める)ようなやり方のことで、単に認証要素を順番に入力する、という意味じゃない。

          あと、Windows Hello とかは端末の所持認証とカメラや指紋での生体認証を同時に行っているので、「一度に多要素認証」になってる。
          全然例は少なくない。

          > #IDで一要素、パスで二要素目。この二要素認証でいいよ

          ログインIDは一般に秘密情報ではないため、認証要素とはみなされない。

        • by Anonymous Coward

          SMSだけの一段階認証にしてるところわりとあるような

      • by Anonymous Coward

        二段階認証じゃなくて二要素認証(多要素認証)っていう言い方にならないのはなんでだろうな。

        「イデーとバズワードで二段階ですよね?」とか言われそう

      • by Anonymous Coward

        GoogleやMicrosoftのドキュメントでは、2段階認証という呼称が基本になっている。

        仮説で、「多要素認証」という概念が多段階と分離される前には「2段階」が通称であり、
        その後呼称の正確化の機運が高まっても、大企業の用語集の方は(多分混乱を避ける動機で)直ちに更新されず、
        それらのリーダー企業に倣ったドキュメントで未だ「段階」という用語が再生産されているのでは、と思うのだが。

        それを裏付けるソースがこれと言って無く、記憶でも過去どうだったとか細かい事は覚えていない。

    • by Anonymous Coward
      リンク先から抜粋引用

      >電話の場合、システムからコールバックに応答し、プッシュボタンを押すことで認証が完了するしくみ。

      >同市保健所の電話回線に限りがあり、ひとつの回線を複数職員で共有し、電話認証にも利用していたという。

      頻繁にログインが行われるシステムみたいだから、第三者がログイン試行した時に、たまたま職員がログインしようとしていたら、かかってきた先の第三者の試行に対する認証電話に対して操作を行なってしまうんでしょうね。
      • by Anonymous Coward

        ありがとうございます、リンク先下部の「次へ」ボタンに気づいておらず、
        記事の続きを読めていませんでした。

        記事を細切れにしてページを分けるのはビューを稼いで広告収入を上げるためで、
        インターネットの広告モデルのダメな部分だ!(八つ当たり)。

        • by Anonymous Coward

          ビューを稼いでもサイト側は広告収入は増えないのに、何を言ってるの?

          • by Anonymous Coward

            ビューを稼いでもサイト側は広告収入は増えないのに、何を言ってるの?

            広告の種類によっては、ビューだけで広告収入は増えますよ?
            クリックや、成功報酬の他にもビューによる収集はあります。

          • by Anonymous Coward

            ページ遷移に伴って異なる次々と広告が表示されますから広告クリック数も増えますし一般的に広告収入は増えますよ

  • by Anonymous Coward on 2022年05月02日 12時59分 (#4242659)

    とかやると、責任問題が明確になりそうな気がする。

    ここに返信
  • by Anonymous Coward on 2022年05月02日 13時28分 (#4242677)

    そこでHER-SYSにアクセスして来たら「不正アクセス禁止法違反」で大々的に告知して楽しいことに!

    ここに返信
  • by Anonymous Coward on 2022年05月02日 13時29分 (#4242678)

    IDパスワードが共用ってとこかな
    こういう所でマイナンバーカードの利用者証明用電子証明書を使えば良いのでは

    ここに返信
    • by Anonymous Coward

      マイナンバーは役職と無関係だから筋が悪い。
      それこそ、FIDOのWebAuthn対応してYubiKeyでも配ればよかったのでは。

typodupeerror

クラックを法規制強化で止められると思ってる奴は頭がおかしい -- あるアレゲ人

読み込み中...