セキュリティソフトを売ってる会社なら、認証認可の適応保守は手を抜いちゃダメでしょう…。（中のITのひと可哀想すぎる）
ちょっと意味がわからない。パスワードのハッシュ化保存は1970年代に一般化した方式なのに
パスワードを教えろという馬鹿客向けに保存してたのだろうけど
そーすね(sigh)
パスワードをハッシュ化せずに復号可能にしておいたのは、悪用を考えてたのかなとすら思う。
可逆暗号で保存してAPIで平文復号して返す設計とか擁護の余地ないだろ。ハッシュ化怠ったツケが一気に来たな
パスワードのハッシュ化とかITパスポート案件（≒初級シスアド）レベルでしょ…
"パスワードを復号するための鍵""当該システムは開発時期が古く""ライセンス管理システムとの連携など、パスワードが必要な作業で使う""今回の事案を受け、必要なセキュリティ対策はすでに実施している"……
事実は分からんが、ITリテラシー最底辺層向けサービスを売る会社だけに、パスワード忘れた客に平文で教えてあげるワークフローをどうしても捨てられなかったんじゃないかと思ってしまう
ライセンス管理システムにパスワード平文でそのまま送らないといけないからハッシュ化ではなく暗号化して複合可能にしていたと。ライセンス管理システムもハッシュ方式合わせりゃいいようにしか思えないのだが
噓つきは泥棒の始まりだよ
あほか
古いって言ってもさあ、ハッシュの一般化より古いってことは無いべ？仮に最初の作りがいい加減だったとしてもよ、この規模で個人情報扱ってて、改修せず後回しにしていいってことにはならんよ。
「最新のハッシュ化方式」←いや全然最新じゃねーよ。標準仕様だよ。
こらこらこらこら、なんで復号しようとするの
ハッシュ化保存の一般化はOSレベルと業務アプリケーションでは歴史が異なるので、自分がSI業界に入った2000年代のクラサバが主流だった頃は暗号化や平文は結構あったかな。流石にそこまで古くはないだろうけど
おそらく実態は割とザルというのはこの会社に限らずで、「たぶん大丈夫だと思うからリリースしようぜ」で多くの仕事は成り立っている
本当に平文で流出してたんかい！
システムの開発時期が古く、最新のハッシュ化方式へ移行できていなかった > このレベルの低さは異常。
どんな言い訳しようが平文で漏れちゃってる以上、取り返し付かんよねぇ
パスワードが複合可能な状態であるという事がもうアカンのだが。
攻撃されたAPIでは、暗号化していたパスワードを復号した状態で取り出せたのかな？
昔はパスワードがメールで送られてくることもよくあったしね。
複合可能だったと言うことですな
パスワード保存可能なマネフォとかも大丈夫か不安になるな。
ど素人。「暗号化って復号可能でしょ！？」というレベルで、よくセキュリティソフト売ってたな。大手コンビニのセキュリティ担当役員が記者会見で「ニヨウソニンショー？」と意表を突かれたのに似ている
「パスワードは暗号化して保存していた」←暗号化は復号できるわけで“ダメじゃん”「パスワードをハッシュ化していなかった理由……当該システムは開発時期が古く」←どれくらい古いのか分からないが。
じゃあ山口健太氏は誰に取材したというんです？//山口氏の反応 https://x.com/yamaguc_k/status/2112041372740096025 やさしいねえ。正式回答ではないだなんて、記者の信用を致命的に毀損しうる激ヤバ発言ですけどね。
"最新のハッシュ化方式" 大草原。2011年の徳丸本初版の時点でhash+saltまでは常識で、ストレッチングは徳丸本で初めて見たような気がする
Web開発周りで安全なハッシュ化が標準的に利用できるようになったのは2010年代前半、12-14年ぐらい前／適切なリスク評価がされず更改せずに運用してきたのかな
流石のソースネクスト
数日で対応してるのに、「当時採用した暗号化方式を継続して使用していた」は、誰でも知ってる複合可能という明らかな穴を放置した言い訳にならんだろ。
最新とは。元々移行出来ていなかったシステムをこの短期間で載せ替えられるはずもないよな
暗号化したパスワードと復号鍵を同じ場所に置いておけば便利だからね。パスワード付きzipとパスワードを両方メールで送るPPAPみたいに手間をかけてセキュリティ強度ゼロみたいな。
さりげなく実名をだして山口健太氏に喧嘩を売っている記事だけど、岡田有花氏の書く記事は今回も構成がぐちゃぐちゃ。地に足のついたわかりやすい記事を書く山口健太氏とは記事のレベルに埋めようのない差があります
CTOやCIOはいないんか？復号可能なパスワードを保持するリスクなんてずっと前から言われているし、ハッシュ化するコストはそんな高くないでしょう。
ソースネクストは廃業して、現経営陣を排除したソースネクストクストを設立すべきだな。
年賀状ソフトで登録したパスワードを変更したけど、ソフト側でログインとクラウド保存がうまくいかなかったな。
ばんなそかな
いろんな視点で「えぇ…」が出てきそうな記事
いろんなアプリを買収して扱ってるからブラックボックスがあるんだろう。買収アプリの認証が固有の認証システムだけで、ソースネクストの認証システムは橋渡しだけとかね
また流出してしまった。
ここってIT企業じゃなくて、他社製品を売る商社だと思ってた。
でも、今でもdアカウントは復号可能な形で保存してるっぽいんだよな。 https://id.smt.docomo.ne.jp/src/utility/pw_forget2_spconfirm.html
ハッシュを復号できる鍵があるのか。世界の法則が乱れるどころの話じゃない大発明を秘匿してんだなこの会社は
"APIの戻り値にパスワードを含めていた理由について「ライセンス管理システムとの連携など、パスワードが必要な作業で使うため」と回答" ハッシュ化の件も含めシステム全部作り直さないとやばいレベルじゃない？
パスワードをリセットしたから再登録して、とのメール来たけど、パスワード登録する気になれない。
それができたなら名簿盗む以外にも当然いろいろやったよな？
twitter備忘録: 暗号手法を変える時のことを考えて、パスを復号できるようにしたくなるけど、2つのハッシュ方式を並行で使えるようにして、ユーザーがパスワード変える時にハッシュ方式を切り替えればいいとのこと
ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」
セキュリティソフトを売ってる会社なら、認証認可の適応保守は手を抜いちゃダメでしょう…。（中のITのひと可哀想すぎる）
ちょっと意味がわからない。パスワードのハッシュ化保存は1970年代に一般化した方式なのに
パスワードを教えろという馬鹿客向けに保存してたのだろうけど
そーすね(sigh)
パスワードをハッシュ化せずに復号可能にしておいたのは、悪用を考えてたのかなとすら思う。
可逆暗号で保存してAPIで平文復号して返す設計とか擁護の余地ないだろ。ハッシュ化怠ったツケが一気に来たな
パスワードのハッシュ化とかITパスポート案件（≒初級シスアド）レベルでしょ…
"パスワードを復号するための鍵""当該システムは開発時期が古く""ライセンス管理システムとの連携など、パスワードが必要な作業で使う""今回の事案を受け、必要なセキュリティ対策はすでに実施している"……
事実は分からんが、ITリテラシー最底辺層向けサービスを売る会社だけに、パスワード忘れた客に平文で教えてあげるワークフローをどうしても捨てられなかったんじゃないかと思ってしまう
ライセンス管理システムにパスワード平文でそのまま送らないといけないからハッシュ化ではなく暗号化して複合可能にしていたと。ライセンス管理システムもハッシュ方式合わせりゃいいようにしか思えないのだが
噓つきは泥棒の始まりだよ
あほか
古いって言ってもさあ、ハッシュの一般化より古いってことは無いべ？仮に最初の作りがいい加減だったとしてもよ、この規模で個人情報扱ってて、改修せず後回しにしていいってことにはならんよ。
「最新のハッシュ化方式」←いや全然最新じゃねーよ。標準仕様だよ。
こらこらこらこら、なんで復号しようとするの
ハッシュ化保存の一般化はOSレベルと業務アプリケーションでは歴史が異なるので、自分がSI業界に入った2000年代のクラサバが主流だった頃は暗号化や平文は結構あったかな。流石にそこまで古くはないだろうけど
おそらく実態は割とザルというのはこの会社に限らずで、「たぶん大丈夫だと思うからリリースしようぜ」で多くの仕事は成り立っている
本当に平文で流出してたんかい！
システムの開発時期が古く、最新のハッシュ化方式へ移行できていなかった > このレベルの低さは異常。
どんな言い訳しようが平文で漏れちゃってる以上、取り返し付かんよねぇ
パスワードが複合可能な状態であるという事がもうアカンのだが。
攻撃されたAPIでは、暗号化していたパスワードを復号した状態で取り出せたのかな？
昔はパスワードがメールで送られてくることもよくあったしね。
複合可能だったと言うことですな
パスワード保存可能なマネフォとかも大丈夫か不安になるな。
ど素人。「暗号化って復号可能でしょ！？」というレベルで、よくセキュリティソフト売ってたな。大手コンビニのセキュリティ担当役員が記者会見で「ニヨウソニンショー？」と意表を突かれたのに似ている
「パスワードは暗号化して保存していた」←暗号化は復号できるわけで“ダメじゃん”「パスワードをハッシュ化していなかった理由……当該システムは開発時期が古く」←どれくらい古いのか分からないが。
じゃあ山口健太氏は誰に取材したというんです？//山口氏の反応 https://x.com/yamaguc_k/status/2112041372740096025 やさしいねえ。正式回答ではないだなんて、記者の信用を致命的に毀損しうる激ヤバ発言ですけどね。
"最新のハッシュ化方式" 大草原。2011年の徳丸本初版の時点でhash+saltまでは常識で、ストレッチングは徳丸本で初めて見たような気がする
Web開発周りで安全なハッシュ化が標準的に利用できるようになったのは2010年代前半、12-14年ぐらい前／適切なリスク評価がされず更改せずに運用してきたのかな
流石のソースネクスト
数日で対応してるのに、「当時採用した暗号化方式を継続して使用していた」は、誰でも知ってる複合可能という明らかな穴を放置した言い訳にならんだろ。
最新とは。元々移行出来ていなかったシステムをこの短期間で載せ替えられるはずもないよな
暗号化したパスワードと復号鍵を同じ場所に置いておけば便利だからね。パスワード付きzipとパスワードを両方メールで送るPPAPみたいに手間をかけてセキュリティ強度ゼロみたいな。
さりげなく実名をだして山口健太氏に喧嘩を売っている記事だけど、岡田有花氏の書く記事は今回も構成がぐちゃぐちゃ。地に足のついたわかりやすい記事を書く山口健太氏とは記事のレベルに埋めようのない差があります
CTOやCIOはいないんか？復号可能なパスワードを保持するリスクなんてずっと前から言われているし、ハッシュ化するコストはそんな高くないでしょう。
ソースネクストは廃業して、現経営陣を排除したソースネクストクストを設立すべきだな。
年賀状ソフトで登録したパスワードを変更したけど、ソフト側でログインとクラウド保存がうまくいかなかったな。
ばんなそかな
いろんな視点で「えぇ…」が出てきそうな記事
いろんなアプリを買収して扱ってるからブラックボックスがあるんだろう。買収アプリの認証が固有の認証システムだけで、ソースネクストの認証システムは橋渡しだけとかね
また流出してしまった。
ここってIT企業じゃなくて、他社製品を売る商社だと思ってた。
でも、今でもdアカウントは復号可能な形で保存してるっぽいんだよな。 https://id.smt.docomo.ne.jp/src/utility/pw_forget2_spconfirm.html
ハッシュを復号できる鍵があるのか。世界の法則が乱れるどころの話じゃない大発明を秘匿してんだなこの会社は
"APIの戻り値にパスワードを含めていた理由について「ライセンス管理システムとの連携など、パスワードが必要な作業で使うため」と回答" ハッシュ化の件も含めシステム全部作り直さないとやばいレベルじゃない？
パスワードをリセットしたから再登録して、とのメール来たけど、パスワード登録する気になれない。
それができたなら名簿盗む以外にも当然いろいろやったよな？
twitter備忘録: 暗号手法を変える時のことを考えて、パスを復号できるようにしたくなるけど、2つのハッシュ方式を並行で使えるようにして、ユーザーがパスワード変える時にハッシュ方式を切り替えればいいとのこと