@tokuhiromから教えてもらったのですが、COOKPADのスマートフォン向けWebサイトのログインページには、パスワードを「伏せ字にせず入力」するボタンがついているのですね。 さっそく見てみましょう。まずはログイン画面です。パスワード欄の下側に、「伏せ字にせず入力」ボタンが見えます。 「元に戻す」ボタンを押すと、伏せ字に戻ります。 僕はこれを知って興奮しました。なぜなら、拙著「体系的に学ぶ　安全なWebアプリケーションの作り方」には以下のように書いたからです（P337～P338）。 パスワード入力欄のマスク表示は、現在の常識的なガイドラインですが、実は筆者自身は疑問を持っています。パスワード入力欄をマスク表示にすると、記号や大文字・小文字交じりの安全なパスワードを入力しにくくなるので、利用者は簡単な（危険な）パスワードを好むようになり、かえって安全性を阻害するリスクの方が大きいのでは

アノニマス匿名のハッカーがpastebinにtwitterアカウントのユーザ名とパスワード55,000以上を漏洩させたという書き込みがありました。（注:当初anonymous hackersをアノニマスハッカーと訳していましたが、ここは「匿名の」という意味ですね。訂正します） 真偽のほどはよくわかりませんが、ここに貼られていたパスワードを少し分析してみました。当然ながら、このパスワードを使ってログインしてみる、というのは違法行為ですので、絶対にやってはいけません。以下はあくまでもパスワード文字列の統計的な分析です。 まず、貼られていたアカウントの数ですが、単純に数えると、58,978個あり、約59,000というところです。ところが重複がかなりあり、ユニークなID:パスワードの組み合わせだと、34,069に減少します。さらに、「同一ユーザ名でパスワードが異なる」組み合わせが6個ありました。

米Trustwaveがまとめたセキュリティに関する調査結果によると、世界の企業情報システムで最も使われているパスワードは「Password1」だという。米Microsoftの「Active Directory」の複雑な初期設定に適用できるパスワードであることが大きな要因と考えられる。 調査では、2011年に発生した300件以上のセキュリティ問題やネットワークおよびアプリケーションのスキャン結果、25種類のアンチウイルスツールなどを分析した。調査対象となったセキュリティ問題のうち76％は、システムサポートや開発あるいはメンテナンスを請け負っているサードパーティーがセキュリティの不備を招いていた。 また昨年の特徴の1つとしては、消費者の記録を狙う傾向が強く、個人を特定できる情報やクレジットカード情報などをターゲットにした攻撃がセキュリティ侵害の89％を占めたことである。 情報取得の手口では、犠

NTTコミュニケーションズ(略称：NTT Com)が提供するOCNなど各種サービスのお客さま専用サイト「OCNマイページ」(＊)において、システムの不具合が発生し、お客さまのOCNメールパスワードが別のお客さまによって変更可能な状態となっていたことが判明しました。 このような事態が発生し、お客さまに多大なご迷惑をおかけすることになりましたことを深くお詫び申し上げます。 今回の事象の発生を厳粛に受け止め、再発防止に努めますので、何卒ご理解を賜りますようお願い申し上げます。 1.発生事象(別紙) 「OCNマイページ」上で、お客さま(Aさま)がOCNメールパスワードを再設定する際、ご自身のOCNメールアドレスとは異なる別のお客さま(Bさま)のOCNメールアドレスを誤って入力してしまったケースにおいて、BさまのOCNメールパスワードが変更されてしまう事象が発生しました。これにより、Bさまがメールを

昨日Webサイトを守るためのセキュリティ講習会の講師を担当しました。講習会の終了後、受講生から「管理者パスワードの定期的変更」に関する質問がありました。備忘の為、質疑内容を以下に記録します。 Q1:上位ポリシーにて、管理者パスワードは定期的に変更するように義務づけられているが、何日毎に変更するのが正しいのか。最近の専門家の見解をお伺いしたい A1:専門家の見解は分かれているとお答えしました 現在の主流はパスワードを定期的に変更するべしという考え方ですが、それに異論を持つ人もいて、私もその一人です。 一般ユーザのパスワードとは異なり、管理者パスワードは、業務の必要上複数の人が知っている状況があります。その状況では、「定期的に変更」するのではなく、管理者パスワードを知っている人が、他業務に異動、あるいは退職するタイミングで遅滞なく変更するべきです。そうしないと、「管理者でなくなった人が管理者パ

第6回　経営者が注意すべき「パスワードクラッキング」：会社を強くする経営者のためのセキュリティ講座（1/3 ページ） 事業を支えるITのシステムがセキュリティ上の危険に晒されると、どのような影響があるのでしょうか。経営者が知っておくべき対策のポイントを専門家・萩原栄幸氏が解説する連載です。今回のテーマは「パスワードクラッキング」です。 「ハッキング」と「クラッキング」の違い ニュースなどで「システムがハッキングされた」という表現を耳にする機会があります。セキュリティに詳しくない人は、「ハッキング」という言葉を悪質な行為を意味するものと理解してしまいがちです。正しくは「ハッキング」ではなく、「クラッキング」と呼びます。 多くの企業経営者はセキュリティに詳しくない方がほとんどです。「システムがハッキングされた」という表現は正しいものではなく、意味を誤って理解してしまうと、その対策の仕方も誤って

既にこのブログでも報告しましたが、10月14日、YAPC::Asia Tokyo 2011でパスワードについてトークしてきました。スライドとビデオは以下のサイトにあります。 オフィシャルサイト HASHコンサルティング・オフィシャルブログ 私はWebアプリケーションのセキュリティを専門にしていますが、開発系のカンファレンスでしゃべる機会を増やしたいと思っています。Webアプリケーションの脆弱性は、つまるところWebアプリケーションのバグなので、開発者の方々にセキュリティのことを知ってもらわないと、脆弱性をなくすことはできないからです。 ということで、今年はYAPCの他に、PHPカンファレンスでもトークさせていただきました。PHPカンファレンスもYAPCも、トークを公募していて、誰でも応募できます。PHPカンファレンスの方は、昨年もトークに応募していて、文字コードの話をしました。このテーマは

PSN侵入の件から始めよう 今年のセキュリティの話題の中でも特に注目されたものとして、4月20日に起こったPSN侵入事件があります。5月1日にソニーが記者会見をネット中継したことから、ゴールデンウィーク中にもかかわらず多くの方がネット中継を視聴し、感想をTwitterに流しました。もちろん、筆者もその1人です。 このときの様子は、「セキュリティクラスタまとめのまとめ」を連載している山本洋介山さんが、Togetterでまとめています。 Togetterのまとめを読むと、漏えいしたパスワードがどのように保護されていたかが非常に注目されていることが分かります。Togetterのタイムラインで、14:48ごろにいったん「パスワードは平文保存されていた」と発表されると、「そんな馬鹿な」という、呆れたり、驚いたりのつぶやきが非常に多数流れます。 しかし、15:03ごろに「パスワードは暗号化されてなかっ

今日は、ちょっとしたシステム構築を発注するときに重要なポイントとなる、顧客情報管理の話題を。テーマは「お客さんのパスワードをどう保存するか」です。 御社には、たとえばECサイトの会員や顧客向けSNSなどの、お客さんがユーザー登録をしてパスワードでログインするようなシステムがありますか？ あるとしたら、そのシステム内で、お客さんそれぞれのパスワードはどんな風に管理されているか把握していますか？ または、システム構築の発注時に、どんな風にパスワードを管理するような仕様にしましたか？ クレジットカード情報や個人情報の管理には注意していても、パスワードの保存方法は、あまり気にしていないのではないでしょうか。しかし、それではまずいのです。システム構築時に正しい仕様で発注しないと、何かセキュリティ問題が発生したときに、思いがけぬ大きな範囲に影響する問題になってしまいかねないのです。 結論からいうと、お

最近、パスワードにまつわる重大な脆弱性を見かけることが多いように思いますので、その中から4つを選んで紹介します。既に私のブログで紹介したものや、少し古い問題も含まれます。 PHP5.3.7のcrypt関数がハッシュ値を返さない脆弱性 crypt関数は、様々なハッシュアルゴリズムによるソルト化ハッシュを返す関数ですが、PHP5.3.7（2011年8月18日リリース）において、crypt関数にMD5を指定した場合、ハッシュ値を返さない（ソルトは返す）バグがありました。私のブログエントリにて説明したように、最悪ケースでは任意のパスワードで認証できてしまう状況があり得ました。 PHP5.3.7のcrypt関数に致命的な脆弱性(Bug #55439) | 徳丸浩の日記 PHP :: Bug #55439 :: crypt() returns only the salt for MD5 このバグが混入

Webメールのアカウントが乗っ取られて迷惑メール送信に利用されるケースが頻発している問題に対応して、MicrosoftはHotmailに友人のアカウント乗っ取り報告機能を導入するとともに、安易なパスワード利用を禁止するなどの対策を打ち出した。 同社のWindows Liveブログによると、友人のアカウント乗っ取り報告機能は、迷惑メールを受信した友人が本人よりも先に乗っ取りに気付くケースが多いことに着目して導入した。 友人のアカウントから迷惑メールが送られていることに気付いたユーザーは、メールに印を付ける「Mark as」メニューから「My friend’s been hacked!」（友人がハッキングされました）という項目を選んで乗っ取りを報告できる。さらに、受信したメールを迷惑メールに振り分ける際にも、「I think this person was hacked」（この人物はハッキング

CPUではなく、グラフィックボードに搭載されているGPUの力を使って、MD5やSHA-1などのハッシュ値を解読するというのを試してみました。 きっかけはPCの刷新。ゲームなどはしないので、DUAL DVI-Iが付いていれば何でもいいやと思って「VAPOR-X HD 5770 1G GDDR5 PCI-E DUAL DVI-I/HDMI/DP OC Version」というカードを13,980円で購入。 このATI HD5770が、GPUを使ってハッシュ値をブルートフォースで解読する「IGHASHGPU」に対応していたので、以前から試してみたかったので使ってみました。 IGHASHGPUのダウンロードはこの辺りから Ivan Golubev's blog - Cryptography, code optimizations, GPUs & CPUs and other http://www.g