@HiromitsuTakagi
サイトメニュー

 

Hiromitsu Takagi @HiromitsuTakagi

Stats Twitter歴
5,849日（2008-12-23より）		 ツイート数
254,445（43.5件/日）

2018年03月31日(土)71 tweets

3月31日

spr@spr_spr

国税庁のリニューアルあり得ない。検索をyahoo にするのはまだいいけどなんで新サイトを読み込ませておかない。個別対応ないとしてもgoogle ならxml ぶっこめばすぐ反応するのに。

Retweeted by Hiromitsu Takagi

retweeted at 20:16:27

3月31日

ryotsun@wkmetty

ssl 化もまともにできてないじゃん、って突っ込もうと思ったらロールバックされてた。笑 ちな、サイト内検索しようとしたらこのフォーム、セキュアじゃないよ。って警告出た…ｗｗ

Retweeted by Hiromitsu Takagi

retweeted at 19:36:06

3月31日

ひらた かなえ@karika7

税金について調べたくってググる →検索ヒットする。が国税庁HPリニューアルという表示と共に国税庁トップページに飛ばされる →仕方がないので、国税庁トップページの検索窓で再検索する →検索ヒットする。が国税庁HPリニューアルという表示と共にで国税庁トップページに飛ばされる エンドレス・・

Retweeted by Hiromitsu Takagi

retweeted at 19:34:31

3月31日

よーかん@yo_kan1971

おっ国税庁webの新しいやつがオープンですね →トップページ →ほう右上に検索窓にパワードバイヤフーがある →ちょうど類似業種比準価額のチェックをする予定だったのよね →（ポチ）→（検索結果ポチ）→「リニュアルのお知らせ」→国税庁トップページへ→（最初に戻る twitter.com/jo_taka/status…

Retweeted by Hiromitsu Takagi

retweeted at 19:33:50

3月31日

麦茶が一番@S9t0s1_T9n9k9

@NTA_Japan 国税庁ホームページが改悪しました。行政機関の大切な一次情報なのに粗末なブログ風のデザインだし、Google検索しても目的のページにいかずトップ画面しかでない。元に戻してください。非常に困っています。

Retweeted by Hiromitsu Takagi

retweeted at 19:33:16

3月31日

広島で頑張る税理士 棚田秀利@tanada330i

衝撃的な事実が発覚！！ 国税庁ホームページが本日をもってリニューアル。 と、ここまではいいのだが、 このホームページは検索機能ゼロになっている。 トップページ右上のヤフー検索のところで例えば「青色申告」と入力して検索しても、トップページに逆戻り(><)www.nta.go.jp/index.htm

Retweeted by Hiromitsu Takagi

retweeted at 19:32:59

非公開

retweeted at xx:xx:xx

非公開

retweeted at xx:xx:xx

3月31日

北河拓士🔰@kitagawa_takuji

かといって、今でも「古いNASにアクセス出来ない場合はLAN Manager認証レベルを変更してNTLM認証を有効にして下さい」というような記事が溢れている状態だから、これを更に強化したり、既定で無効にするのもなかなか難しんだろうね。

Retweeted by Hiromitsu Takagi

retweeted at 11:48:50

3月31日

北河拓士🔰@kitagawa_takuji

LM認証、NTLM認証、NTLMv2認証とチャレンジ・レスポンスなのは同じだが、レスポンスを作成する方式が強化されている。ただ、NTLMv2認証の登場はNT4.0SP4からで約20年前（既定値でNTLMv2認証のみ使用する様になったのはVista以降）。現在のGPUクラスタを使った解析に対しては当然脆弱な状態。

Retweeted by Hiromitsu Takagi

retweeted at 11:48:32

3月31日

北河拓士🔰@kitagawa_takuji

「昔のWindowsでは、LAN上にハッシュ化されたパスワードを流していた」というのは何時のことだろうか？Win95時代のLM認証でもチャレンジレスポンスで直接ハッシュが流れることはなかったし、それはその後のNTLM認証や、Win7/10で使われているNTLMv2認証でも同じ。

Retweeted by Hiromitsu Takagi

retweeted at 11:00:00

3月31日

Hiromitsu Takagi@HiromitsuTakagi

券売機は4桁の数字で構わなくて、Webでは数字だけとか4字で許すとかじゃダメなのは、後者はリバースブルートフォース攻撃に脆弱であるのに対し、券売機に対してはそのような攻撃を仕掛けることができないからである。 このことが理解されていないと、どう設計していいか迷走してしまうわけだ。

Retweeted by Hiromitsu Takagi

retweeted at 10:40:30

3月31日

Hiromitsu Takagi@HiromitsuTakagi

そもそも、スマートEXのパスワードと券売機に入力させるものとは別に設定するように設計すればよかった話だ。つまり、Webでは任意の文字種で64字まで許すログインパスワード（256字でも無制限でもよい）とし、券売機での本人確認用は数字のPINの設定を求めるようにすればよかった。

Retweeted by Hiromitsu Takagi

retweeted at 10:40:24

3月31日

Hiromitsu Takagi@HiromitsuTakagi

むしろ、券売機に入力する場合についてすら、8文字より、20字や30字の方が入力が楽とも言える。 なぜなら、8文字の場合は大文字小文字数字記号を使わないと脆弱であり、入力モードの切り替えを要するのに対し、30字あれば小文字だけや数字だけでも同程度の強度を得られるからだ。

Retweeted by Hiromitsu Takagi

retweeted at 10:39:47

3月31日

Hiromitsu Takagi@HiromitsuTakagi

スマートEXのログインパスワードが、4文字〜8文字と、4文字でも許されているのは、「券売機で入力できないじゃないか」という内部の誰かの声によって、4桁数字も許すことにしたのだろう。だが、そういうユーザが多くなれば、リバースブルートフォース攻撃による金銭被害が確実に出てくるだろう。

Retweeted by Hiromitsu Takagi

retweeted at 10:38:07

3月31日

Se AKi@seaki

あと、サイトがめっちゃ素人臭がするしPINが4桁固定なのでリバースブルートフォースできる「ZAL穴」状態、ってことか

Retweeted by Hiromitsu Takagi

retweeted at 10:15:45

非公開

retweeted at xx:xx:xx

3月31日

絶対太字になる🐝（役職停止）@rioriost

JALもだけど、auもすごいね。 auのID以外にも色々なIDとパスワードがあって、パスワードのポリシーも8文字英数記号、16文字英数のみ、とか全く統一されてない。同じドメイン内でそれがあるから、パスワードマネージャーが役に立たないwww

Retweeted by Hiromitsu Takagi

retweeted at 10:01:08

3月31日

絶対太字になる🐝（役職停止）@rioriost

JALは、 - ログインパスワード - webパスワード - my JAL Card認証コード の3つが必要になってて、どうしてそういう設計にしちゃうかな？っていう状態。パスワードマネージャーを使わない人がどうするって、絶対付箋をモニタに貼るシナリオに「誘導」してて、むしろユーザをリスクに晒してるシステム。

Retweeted by Hiromitsu Takagi

retweeted at 10:00:54

3月31日

Attun@nezuku

変更しなくてもよい十分に複雑なパスワードを作ろうにも、長さ制限が厳しいウェブサービス依然あるのがなぁ 12～16文字では足りない #nhk11

Retweeted by Hiromitsu Takagi

retweeted at 01:33:19

3月31日

北河拓士🔰@kitagawa_takuji

例えハッシュを取得されても簡単には解析されないよう。十分長く複雑なパスワードにすることが基本だが、GPU性能も飛躍的に向上している。Webサービスの認証の場合、ストレッチ回数を増やすなどして計算量を増やすことができるが、Windows関連の認証では計算量は固定で変更することは出来ない。

Retweeted by Hiromitsu Takagi

retweeted at 01:22:44

3月31日

北河拓士🔰@kitagawa_takuji

標的型攻撃などでWindows端末が乗っ取られると、DCCを取得して管理者パスワードを解析するのは攻撃者の常套手段。DCCを記録しないように設定することもできるが、ドメイン障害時やノートPCをオフラインで使用する時にログオン出来なくなる。

Retweeted by Hiromitsu Takagi

retweeted at 01:21:54

3月31日

北河拓士🔰@kitagawa_takuji

DCCは既定で過去１０ユーザが記録されるので（１０回のログインではない）、数年前の管理者ログオンがキャッシュに残っている可能性がある。もし、管理者が定期的にパスワードを変更していれば、DCC悪用のリスクを直近のパスワード変更以降のログオンのみに低減することが出来る。

Retweeted by Hiromitsu Takagi

retweeted at 01:20:58

3月31日

北河拓士🔰@kitagawa_takuji

初期セットアップ時の動作確認で情シス部員がドメイン管理者でログオンしたり、システム管理者やヘルプデスクなどがリモートデスクトップでドメイン管理者でログオンして作業するとDCCが記録される。

Retweeted by Hiromitsu Takagi

retweeted at 01:20:18

3月31日

北河拓士🔰@kitagawa_takuji

Windows環境では、DCC(Domain Cached Credentials)の問題もある。ドメイン下のWindowsではドメイン・コントローラに接続出来ない場合でもログオン出来るように以前のログオン情報がローカルにキャッシュされている（既定で過去１０ユーザを記録）

Retweeted by Hiromitsu Takagi

retweeted at 01:19:40

3月31日

北河拓士🔰@kitagawa_takuji

Vista以降では既定値でNTLMv2認証のみ使用する様になっている。しかし、古いNASにアクセス出来ない場合の対処策として、LAN Manager認証レベルを変更してLM/NTLMを使用可能にさせる解説記事が大量にある。LM認証やNTLM認証の場合はより高速に解析出来る。

Retweeted by Hiromitsu Takagi

retweeted at 01:19:20

3月31日

北河拓士🔰@kitagawa_takuji

NTLMv2認証のチャレンジ／レスポンスは、ADやSAMに保存されるNTLMハッシュとは別物。JtRやHashCatではNetNTLMv2と呼ばれる。NTLMv2になって以前のLM認証やNTLM認証よりはマシになったが、それでも8文字程度のパスワードなら高速なGPUを使用すれば短時間でクラック可能。

Retweeted by Hiromitsu Takagi

retweeted at 01:18:19

3月31日

北河拓士🔰@kitagawa_takuji

Windows7/10でも非ドメインのファイルサーバやNASにアクセスする時はNTLMv2認証が使われる。ハッシュそのものではないがLAN上にチャレンジ／レスポンスが流れるのでこれをキャプチャすればJtRやHashCatなどのパスワード解析ソフトでクラック可能。

Retweeted by Hiromitsu Takagi

retweeted at 01:17:08

3月31日

Hiromitsu Takagi@HiromitsuTakagi

東京新聞30日朝刊「ミクシィは「定期的にパスワードの変更を」と呼び掛けていたが、来月初めに修正する予定。担当者は「（定期的変更は）有効でないことが周知されてきたため」と説明……NTTドコモも…「dアカウント」のパスワードを定期変更するよう規約で定めているが、「変更するか検討している」」

posted at 01:02:41

3月31日

Masanori Kusunoki / 楠 正憲@masanork

パスワードの定期変更は要らないという言説は、サービス設計者に対する規範としては正しいのですが、サービス利用者としてはケースバイケースで、そこを解説しました / “パスワードの定期変更に意味はあると考えますか？に対する楠 正憲 (…” htn.to/46pVvQ

Retweeted by Hiromitsu Takagi

retweeted at 00:36:32

3月31日

AB1QQ@AB1QQ

@nilnil26 個人情報保護委員会事務局とあろう者が、ECサイトや会員用サイトに対して、「OSやソフトウェアを常に最新の状態」「ウイルス定義ファイルを常に最新の状態」で事足れりと読める周知をするとは何事? ガイドライン（通則編）8を読んで出し直せ。 www.ppc.go.jp/files/pdf/guid…

Retweeted by Hiromitsu Takagi

retweeted at 00:13:20