Kancolle
- 2. 突然ですが • 艦隊これくしょん、流行ってます。 • ただ、どうも設計がテキトーです。 • 特にセキュリティ面でびっくりする ぐらいヤバいです。 2
- 3. どれぐらいヤバいの？ • 例えば会社や学校の回線でプレイす ると、 • いつの間にか艦娘すべて解体される かもしれないぐらいヤバいです。 – ネットワーク管理者がやる気になればごく簡 単にできます。 • もちろん不正アクセス禁止法で捕まりますが。 3
- 5. もっと具体的には？ • ちょっと長くなります。 • 要点だけここに書きますね。 – トークンが常に送信されっぱなし – シグネチャが付けられていない – HTTPSを使っていない • こんな感じです。 5
- 8. つまりどういうこと？ • 艦これの通信は常に丸見え状態！ • 他人がなりすますのに必要な情報を 毎回送信！ • なりすます手間すら全く不要！！ • こんな通信があっていいのか！ 8
- 9. 他人は何ができるの？ • プレイヤーが艦これで行っている全 てが他人から実行可能です • 例えば – 資源ALLで大型建造 – 艦娘を鍵外して解体 – その他通常の出撃や演習・遠征も 9
- 10. 何ができないの？ • 通常できないことはできません • 例えば – 艦娘のデータを直接書き換える – 資源を無限増殖させる – HP減らないなどのチート – …などはできません。 10
- 11. （運営は）どうすればいいの？ • 最善策 – とりあえず全部の通信をHTTPSにする • 現状、通信が全部ハガキに書かれているよ うなもので、誰からも見えてしまっていま す。HTTPSは封筒みたいなもので、入れて しまえば他人から読めなくなります。これ さえすればまず安全です。 11
- 12. ちょっとコストが… • せめて通信に乗せないトークンを 作って署名を生成しよう – シークレットトークン。直接通信に出てこな いので、これから生成した署名は他人が偽造 することはできません。 • 例えばフォームデータとトークンとナンス を連結してハッシュを取る、とかで十分。 – シークレットトークンの共有はどうする？ • そこはHTTPS使ってもらわないと。 • 結局一箇所はHTTPS使わないとだめだよ。 12