メディアにはこういう取材をして欲しいですよね。ただ、この理由は納得できない>ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた
"ソースネクストは会員向けにパスワードを再設定するよう案内しているものの、新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" やったー！
“会員情報を取得するAPIにおいて、戻り値にパスワードを含めるのは特徴的な仕様"。"一般的にはパスワードを含めない設計” "〔新しいパスワードも〕暗号化してサーバーに保存"
APIを特打したら他人の個人情報までゲットできちゃいました、と
使えるパスワードに「半角英数字のみ20文字以内」のような制限がある場合は平文保存の可能性が高いと考えている。ハッシュ化もしくは暗号化では、このような制限は不要なので。そう考えると、世の中平文まみれだよな
想像のはるか上を行ってたw もう解約するしかないだろこれ
＞新しいパスワードについても同様に暗号化してサーバーに保存されるとのこと 正気か？
どんなに言ってもパスワードを使い回しする人はいるだろうから，流出した個人情報の組み合わせでログインできないように各サービスはメールアドレスや電話番号をIDとして使うのをやめ，必ず固有で割り当てるべきでは
“ソースネクストが取り扱っている「1Password」” これだ！
バカすぎわろた
2度とウィルス対策ソフトなんて売るなよ
古の時代にアホなアーキテクチャで負債作っちゃって、しがらみに手を入れられずここまで来ちゃったんだろうね。当然数日でどうにかできるものでもなく、引き続き暗号化保存するしかないと。
パスワード管理ツールって、登録画面によるけどパスワード保存をうまくやってくれなかったりして使いづらいんだよな。登録画面とログイン画面のhtml仕様が規格化されたら改善されそうだけれど
また狙われそう
顧客にパスワード変えろ？←パスワード強制リセットじゃないんだ。放っといていいと思ってたけど確認するか。
「パスワードが必要な作業」の存在も「新しいパスワードについても同様に暗号化してサーバーに保存」も全く納得できない。後者はすぐ対応は無理でも、せめてハッシュ化を検討中くらいは言って欲しいのだけど。
「新しいパスワードについても同様に暗号化してサーバーに保存される」そうなってる予感がしたので、他のパスワードとは違うパターンの独自パスワードにしていた。良かった（漏れてる時点で良くない）。
ソースネクストが無能を超えた無能すぎて言葉が出ない
古いサイトとか、問い合わせると電話越しに生パスワードおしえてくれるんだよ。何年か前のＤＭＭとかそうだった。
パスワード強制リセットはされてて、その上での暗号化()でしょ。固有でIDを割り当てたって覚えられないだろ。組み合わせ増やしたって漏れたら同じだ。なんかほんとコメ欄、情報を正しく理解してるやついないよね。
全く納得できないし、この会社の信用はがた落ちしたのは確かだが、結論のパスワードの使い回しをやめる、という自己防衛が必要なのは確かなんだよな。
パスワードの復号が必要な理由になってないんだが
あるネカフェでパスワード忘れてしまいそれを店員に伝えたら、生年月日聞かれて答えたら向こうから「パスワードこれです」と。え、復元できんの？しかもバイトっぽい人が？と驚愕した。信用しないほうがいい
過去はともかく、この状況で「顧客に迷惑をかけるかもしれないが一旦サービス停止して改修してから再開しよう」と意思決定できない経営陣は退場だと思う
定期的にセキュリティ脆弱性診断していないって、非IT企業だと普通なんかな
10年間のプログラマー経験のある記者なら『パスワードが必要な作業で使う必要があるAPIであったため』などという意味不明な説明でそうですかと引き下がらないで欲しいですね。
一般大手紙の記者がハッシュ化とか理解できる知性を持ち合わせるわけないだろいい加減にしろ！ｗ｜つーてもソースネクスト社員が自社のシステムについて理解してるのかも怪しいが⋯
古い会社ほどこういうのが残っているケースはある。一度作ってしまって変更するのに体力を使う古のシステムとかで。
アプリの認証基盤の刷新を長年後回しにした結果、買収で増やした古い製品の技術的負債が積みあがって手を付けられない状態なんだろうね。ここはパスワード強制変更の方が既存顧客が離れそうだし。
そもそもソースネクストって開発なんてしないしあいちー企業とも違うしただの販社みたいなもんやろ。残当過ぎる
山口健太氏の記事はもっと評価されていいと思う。ちゃんと取材して記事にしてるし、解説も分かりやすい。
全然、全く、理由になっていない。復号できる状態でパスワードを保存するのは根本的に設計がおかしい。素人レベルの誤りではないか。
今回の件を受けてハッシュ化にしようってならないのがやばすぎる
パスワード変更したらしたでまた同じ方法で管理されるのやばすぎる。さっさと全員退会したほうがよい…が退会してもデータ消えないんだろうな。関わってなくてよかった
山口健太氏の記事は、タイトルに変な煽りもないし内容もいつも簡潔でわかりやすく、ITジャーナリスト・記者として群を抜いている。他のライターさんも氏を見習ってほしい。煽りコタツ記事ばかりの世の中で貴重な存在
こういうところほどパスキーになってくれませんねえ
「さまざまな事情や経緯からハッシュ値ではなく元のパスワード文字列を保存しているケース」そんなこと言ってる状況ではないはず。世の中の認証関連の人が苦労して作り上げたより安全なものがあると言うのに
おおっと・・・ 「「ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた」（ソースネクスト広報）」
今更、暗号化なの？もう企業として信用ゼロだろ？まだ使う人いるの？
"新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" クソ過ぎる
このパスワードを保管しているシステムが他システムの認証機能も備えれば復号可能なパスワードを保持する必要はないわけで、他システムでも認証したいからパスワードを渡すのは単純にアーキテクチャの敗北
"ソースネクストは会員向けにパスワードを再設定するよう案内しているものの、新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" いや何でだよ今が最高の改修タイミングだろうがアホか
「復元不能にしろ」なんて大昔から言われてたわけで、ずっと改善コストを支払わらずにいた技術軽視のツケとしてついに生パスワードを流出させるに至ったと。それでも検知＆報告できてるだけマシな方ではあるが。
システム改修できる人いないならAIにやってもらうしかなさそう
1passwordを公式かソースネクストから買おうか迷ってたときあったけど、少なくとも1passはソースネクストから買っちゃダメだな。
2000年代の言い訳を四半世紀後にも見ることになるとは。盗まれるのは今の時代防ぐのは難しいとしても、ここまでレベルが低いと転職も厳しいだろ。だからこれからも複合できますってか？
パスワード複合できる形でサーバーに置いてて今回の事故になったんだから個人情報保護法の安全管理措置違反になるのでは？
ライセンス管理システムのユーザ認証で会員情報取得APIからパスワードを取得して照合する必要があったということなのかな？他システムのDBを直接参照できない構成だったとしても、そういうアーキは考えづらいが
SAMLやOIDCを実装する手間を省いたってことかしら？ んー？
パスワードの再設定を利用者に求めているだろうけれども、復号化可能な形式でパスワードを保存しているのを改善しないってまずくないですか 影響出るソフトサービスを明示して停止すべきなんではそのシステム
設計が根本的におかしいのに開き直っててヤバい。この機にボコボコに叩かれないと改善しないのでは？／もう会員登録時にパスワードの扱いを開示することを義務化してほしい。
2000年代の設計、内部で別システムと密結合していて直ぐに改修できないあたりではないかな。それを見直すことなく今日まで来たのではと推測。
ふつー、JWTかOIDCにするだろ。API連携を可逆暗号で行う理由になってない。
代理ログイン（クレデンシャル・リプレイ）が必要な実装だったのだろうか？
連携用ってお前…
復号可能な暗号化が必ずしも安全でないとは言い切れない点は注意。でもワンウェイハッシュの方が全体の安全設計は簡単そう。現状のライセンス管理が復号前提で作られてると全体の設計からやり直しで厳しそう。
ソフトは物理メディアで売ったほうが良いですね。この機会にサブスク文化を減らしていきましょう
パスワード忘れたから教えてくれって問い合わせが多いのだろうね
少しだけ留守電契約したことあるけど、ライセンス周りが変な感じで、解約後何となくアカウント削除したな。村民は関わり薄そうな会社だけど、1passwordの人が多いのかな
ああ、これから看板商品の年賀状ソフト売りまくらなきゃならんから改修でサービス停止したくないのか 逆に全然売れないのでは？
丸投げ体質なんだろ。管理者の方は技術に疎いから適切なチェックができない。結論は、技術エンジニア軽視だな
なんかもう、「見とけよ見とけよー！俺のほうがすごい漏洩してやんぞ！倍プッシュだ！！」みたいになってきた。
セキュリティ０とかいう自社製品を体現する心意気
ソースネクストの不正アクセスで会員情報2251万件が流出。暗号化パスワードが復号可能だった経緯をハッシュ化との違いとともに解説し、使い回し回避を促す。
KDDI のメールサーバーを例に挙げているけど、あれは APOP をサポートしようとしたら原理的に必要。じゃぁソースネクストの場合は？ というか、API の機能として、パスワードが取得できたとしたら、そっちが異常。
「他システムとの連携で、パスワードが利用されていたために、パスワードも含めていた」アホだな…
ロシア人ハッカー「日本企業のサイバーセキュリティは想像を絶するほど酷い」
ソースネクスト 暗号化されていないパスワードが流出した理由とは（山口健太） - エキスパート - Yahoo!ニュース
メディアにはこういう取材をして欲しいですよね。ただ、この理由は納得できない>ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた
"ソースネクストは会員向けにパスワードを再設定するよう案内しているものの、新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" やったー！
“会員情報を取得するAPIにおいて、戻り値にパスワードを含めるのは特徴的な仕様"。"一般的にはパスワードを含めない設計” "〔新しいパスワードも〕暗号化してサーバーに保存"
APIを特打したら他人の個人情報までゲットできちゃいました、と
使えるパスワードに「半角英数字のみ20文字以内」のような制限がある場合は平文保存の可能性が高いと考えている。ハッシュ化もしくは暗号化では、このような制限は不要なので。そう考えると、世の中平文まみれだよな
想像のはるか上を行ってたw もう解約するしかないだろこれ
＞新しいパスワードについても同様に暗号化してサーバーに保存されるとのこと 正気か？
どんなに言ってもパスワードを使い回しする人はいるだろうから，流出した個人情報の組み合わせでログインできないように各サービスはメールアドレスや電話番号をIDとして使うのをやめ，必ず固有で割り当てるべきでは
“ソースネクストが取り扱っている「1Password」” これだ！
バカすぎわろた
2度とウィルス対策ソフトなんて売るなよ
古の時代にアホなアーキテクチャで負債作っちゃって、しがらみに手を入れられずここまで来ちゃったんだろうね。当然数日でどうにかできるものでもなく、引き続き暗号化保存するしかないと。
パスワード管理ツールって、登録画面によるけどパスワード保存をうまくやってくれなかったりして使いづらいんだよな。登録画面とログイン画面のhtml仕様が規格化されたら改善されそうだけれど
また狙われそう
顧客にパスワード変えろ？←パスワード強制リセットじゃないんだ。放っといていいと思ってたけど確認するか。
「パスワードが必要な作業」の存在も「新しいパスワードについても同様に暗号化してサーバーに保存」も全く納得できない。後者はすぐ対応は無理でも、せめてハッシュ化を検討中くらいは言って欲しいのだけど。
「新しいパスワードについても同様に暗号化してサーバーに保存される」そうなってる予感がしたので、他のパスワードとは違うパターンの独自パスワードにしていた。良かった（漏れてる時点で良くない）。
ソースネクストが無能を超えた無能すぎて言葉が出ない
古いサイトとか、問い合わせると電話越しに生パスワードおしえてくれるんだよ。何年か前のＤＭＭとかそうだった。
パスワード強制リセットはされてて、その上での暗号化()でしょ。固有でIDを割り当てたって覚えられないだろ。組み合わせ増やしたって漏れたら同じだ。なんかほんとコメ欄、情報を正しく理解してるやついないよね。
全く納得できないし、この会社の信用はがた落ちしたのは確かだが、結論のパスワードの使い回しをやめる、という自己防衛が必要なのは確かなんだよな。
パスワードの復号が必要な理由になってないんだが
あるネカフェでパスワード忘れてしまいそれを店員に伝えたら、生年月日聞かれて答えたら向こうから「パスワードこれです」と。え、復元できんの？しかもバイトっぽい人が？と驚愕した。信用しないほうがいい
過去はともかく、この状況で「顧客に迷惑をかけるかもしれないが一旦サービス停止して改修してから再開しよう」と意思決定できない経営陣は退場だと思う
定期的にセキュリティ脆弱性診断していないって、非IT企業だと普通なんかな
10年間のプログラマー経験のある記者なら『パスワードが必要な作業で使う必要があるAPIであったため』などという意味不明な説明でそうですかと引き下がらないで欲しいですね。
一般大手紙の記者がハッシュ化とか理解できる知性を持ち合わせるわけないだろいい加減にしろ！ｗ｜つーてもソースネクスト社員が自社のシステムについて理解してるのかも怪しいが⋯
古い会社ほどこういうのが残っているケースはある。一度作ってしまって変更するのに体力を使う古のシステムとかで。
アプリの認証基盤の刷新を長年後回しにした結果、買収で増やした古い製品の技術的負債が積みあがって手を付けられない状態なんだろうね。ここはパスワード強制変更の方が既存顧客が離れそうだし。
そもそもソースネクストって開発なんてしないしあいちー企業とも違うしただの販社みたいなもんやろ。残当過ぎる
山口健太氏の記事はもっと評価されていいと思う。ちゃんと取材して記事にしてるし、解説も分かりやすい。
全然、全く、理由になっていない。復号できる状態でパスワードを保存するのは根本的に設計がおかしい。素人レベルの誤りではないか。
今回の件を受けてハッシュ化にしようってならないのがやばすぎる
パスワード変更したらしたでまた同じ方法で管理されるのやばすぎる。さっさと全員退会したほうがよい…が退会してもデータ消えないんだろうな。関わってなくてよかった
山口健太氏の記事は、タイトルに変な煽りもないし内容もいつも簡潔でわかりやすく、ITジャーナリスト・記者として群を抜いている。他のライターさんも氏を見習ってほしい。煽りコタツ記事ばかりの世の中で貴重な存在
こういうところほどパスキーになってくれませんねえ
「さまざまな事情や経緯からハッシュ値ではなく元のパスワード文字列を保存しているケース」そんなこと言ってる状況ではないはず。世の中の認証関連の人が苦労して作り上げたより安全なものがあると言うのに
おおっと・・・ 「「ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた」（ソースネクスト広報）」
今更、暗号化なの？もう企業として信用ゼロだろ？まだ使う人いるの？
"新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" クソ過ぎる
このパスワードを保管しているシステムが他システムの認証機能も備えれば復号可能なパスワードを保持する必要はないわけで、他システムでも認証したいからパスワードを渡すのは単純にアーキテクチャの敗北
"ソースネクストは会員向けにパスワードを再設定するよう案内しているものの、新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。" いや何でだよ今が最高の改修タイミングだろうがアホか
「復元不能にしろ」なんて大昔から言われてたわけで、ずっと改善コストを支払わらずにいた技術軽視のツケとしてついに生パスワードを流出させるに至ったと。それでも検知＆報告できてるだけマシな方ではあるが。
システム改修できる人いないならAIにやってもらうしかなさそう
1passwordを公式かソースネクストから買おうか迷ってたときあったけど、少なくとも1passはソースネクストから買っちゃダメだな。
2000年代の言い訳を四半世紀後にも見ることになるとは。盗まれるのは今の時代防ぐのは難しいとしても、ここまでレベルが低いと転職も厳しいだろ。だからこれからも複合できますってか？
パスワード複合できる形でサーバーに置いてて今回の事故になったんだから個人情報保護法の安全管理措置違反になるのでは？
ライセンス管理システムのユーザ認証で会員情報取得APIからパスワードを取得して照合する必要があったということなのかな？他システムのDBを直接参照できない構成だったとしても、そういうアーキは考えづらいが
SAMLやOIDCを実装する手間を省いたってことかしら？ んー？
パスワードの再設定を利用者に求めているだろうけれども、復号化可能な形式でパスワードを保存しているのを改善しないってまずくないですか 影響出るソフトサービスを明示して停止すべきなんではそのシステム
設計が根本的におかしいのに開き直っててヤバい。この機にボコボコに叩かれないと改善しないのでは？／もう会員登録時にパスワードの扱いを開示することを義務化してほしい。
2000年代の設計、内部で別システムと密結合していて直ぐに改修できないあたりではないかな。それを見直すことなく今日まで来たのではと推測。
ふつー、JWTかOIDCにするだろ。API連携を可逆暗号で行う理由になってない。
代理ログイン（クレデンシャル・リプレイ）が必要な実装だったのだろうか？
連携用ってお前…
復号可能な暗号化が必ずしも安全でないとは言い切れない点は注意。でもワンウェイハッシュの方が全体の安全設計は簡単そう。現状のライセンス管理が復号前提で作られてると全体の設計からやり直しで厳しそう。
ソフトは物理メディアで売ったほうが良いですね。この機会にサブスク文化を減らしていきましょう
パスワード忘れたから教えてくれって問い合わせが多いのだろうね
少しだけ留守電契約したことあるけど、ライセンス周りが変な感じで、解約後何となくアカウント削除したな。村民は関わり薄そうな会社だけど、1passwordの人が多いのかな
ああ、これから看板商品の年賀状ソフト売りまくらなきゃならんから改修でサービス停止したくないのか 逆に全然売れないのでは？
丸投げ体質なんだろ。管理者の方は技術に疎いから適切なチェックができない。結論は、技術エンジニア軽視だな
なんかもう、「見とけよ見とけよー！俺のほうがすごい漏洩してやんぞ！倍プッシュだ！！」みたいになってきた。
セキュリティ０とかいう自社製品を体現する心意気
ソースネクストの不正アクセスで会員情報2251万件が流出。暗号化パスワードが復号可能だった経緯をハッシュ化との違いとともに解説し、使い回し回避を促す。
KDDI のメールサーバーを例に挙げているけど、あれは APOP をサポートしようとしたら原理的に必要。じゃぁソースネクストの場合は？ というか、API の機能として、パスワードが取得できたとしたら、そっちが異常。
「他システムとの連携で、パスワードが利用されていたために、パスワードも含めていた」アホだな…
ロシア人ハッカー「日本企業のサイバーセキュリティは想像を絶するほど酷い」