セキュリティソフトを売ってる会社なら、認証認可の適応保守は手を抜いちゃダメでしょう…。（中のITのひと可哀想すぎる）
ちょっと意味がわからない。パスワードのハッシュ化保存は1970年代に一般化した方式なのに
パスワードを教えろという馬鹿客向けに保存してたのだろうけど
そーすね(sigh)
パスワードをハッシュ化せずに復号可能にしておいたのは、悪用を考えてたのかなとすら思う。
可逆暗号で保存してAPIで平文復号して返す設計とか擁護の余地ないだろ。ハッシュ化怠ったツケが一気に来たな
パスワードのハッシュ化とかITパスポート案件（≒初級シスアド）レベルでしょ…
"パスワードを復号するための鍵""当該システムは開発時期が古く""ライセンス管理システムとの連携など、パスワードが必要な作業で使う""今回の事案を受け、必要なセキュリティ対策はすでに実施している"……
事実は分からんが、ITリテラシー最底辺層向けサービスを売る会社だけに、パスワード忘れた客に平文で教えてあげるワークフローをどうしても捨てられなかったんじゃないかと思ってしまう
ライセンス管理システムにパスワード平文でそのまま送らないといけないからハッシュ化ではなく暗号化して複合可能にしていたと。ライセンス管理システムもハッシュ方式合わせりゃいいようにしか思えないのだが
噓つきは泥棒の始まりだよ
あほか
古いって言ってもさあ、ハッシュの一般化より古いってことは無いべ？仮に最初の作りがいい加減だったとしてもよ、この規模で個人情報扱ってて、改修せず後回しにしていいってことにはならんよ。
「最新のハッシュ化方式」←いや全然最新じゃねーよ。標準仕様だよ。
こらこらこらこら、なんで復号しようとするの
ハッシュ化保存の一般化はOSレベルと業務アプリケーションでは歴史が異なるので、自分がSI業界に入った2000年代のクラサバが主流だった頃は暗号化や平文は結構あったかな。流石にそこまで古くはないだろうけど
おそらく実態は割とザルというのはこの会社に限らずで、「たぶん大丈夫だと思うからリリースしようぜ」で多くの仕事は成り立っている
本当に平文で流出してたんかい！
システムの開発時期が古く、最新のハッシュ化方式へ移行できていなかった > このレベルの低さは異常。
どんな言い訳しようが平文で漏れちゃってる以上、取り返し付かんよねぇ
パスワードが複合可能な状態であるという事がもうアカンのだが。
攻撃されたAPIでは、暗号化していたパスワードを復号した状態で取り出せたのかな？
昔はパスワードがメールで送られてくることもよくあったしね。
複合可能だったと言うことですな
パスワード保存可能なマネフォとかも大丈夫か不安になるな。
ど素人。「暗号化って復号可能でしょ！？」というレベルで、よくセキュリティソフト売ってたな。大手コンビニのセキュリティ担当役員が記者会見で「ニヨウソニンショー？」と意表を突かれたのに似ている
「パスワードは暗号化して保存していた」←暗号化は復号できるわけで“ダメじゃん”「パスワードをハッシュ化していなかった理由……当該システムは開発時期が古く」←どれくらい古いのか分からないが。
じゃあ山口健太氏は誰に取材したというんです？//山口氏の反応 https://x.com/yamaguc_k/status/2112041372740096025 やさしいねえ。正式回答ではないだなんて、記者の信用を致命的に毀損しうる激ヤバ発言ですけどね。
"最新のハッシュ化方式" 大草原。2011年の徳丸本初版の時点でhash+saltまでは常識で、ストレッチングは徳丸本で初めて見たような気がする
Web開発周りで安全なハッシュ化が標準的に利用できるようになったのは2010年代前半、12-14年ぐらい前／適切なリスク評価がされず更改せずに運用してきたのかな
流石のソースネクスト
数日で対応してるのに、「当時採用した暗号化方式を継続して使用していた」は、誰でも知ってる複合可能という明らかな穴を放置した言い訳にならんだろ。
最新とは。元々移行出来ていなかったシステムをこの短期間で載せ替えられるはずもないよな
暗号化したパスワードと復号鍵を同じ場所に置いておけば便利だからね。パスワード付きzipとパスワードを両方メールで送るPPAPみたいに手間をかけてセキュリティ強度ゼロみたいな。
さりげなく山口健太氏の実名をだして喧嘩を売っている記事だね。岡田有花氏の書く記事はこういう余計なノイズが多い。地に足のついたわかりやすい記事を書く山口健太氏とは記事のレベルに埋めようのない差があります
CTOやCIOはいないんか？復号可能なパスワードを保持するリスクなんてずっと前から言われているし、ハッシュ化するコストはそんな高くないでしょう。
ソースネクストは廃業して、現経営陣を排除したソースネクストクストを設立すべきだな。
年賀状ソフトで登録したパスワードを変更したけど、ソフト側でログインとクラウド保存がうまくいかなかったな。
ばんなそかな
いろんな視点で「えぇ…」が出てきそうな記事
いろんなアプリを買収して扱ってるからブラックボックスがあるんだろう。買収アプリの認証が固有の認証システムだけで、ソースネクストの認証システムは橋渡しだけとかね
また流出してしまった。
ここってIT企業じゃなくて、他社製品を売る商社だと思ってた。
今でもdアカウントは復号可能な形で保存してるっぽいんだよな。9千万アカウント以上あるらしいよ。 https://id.smt.docomo.ne.jp/src/utility/pw_forget2_spconfirm.html
ハッシュを復号できる鍵があるのか。世界の法則が乱れるどころの話じゃない大発明を秘匿してんだなこの会社は
"APIの戻り値にパスワードを含めていた理由について「ライセンス管理システムとの連携など、パスワードが必要な作業で使うため」と回答" ハッシュ化の件も含めシステム全部作り直さないとやばいレベルじゃない？
パスワードをリセットしたから再登録して、とのメール来たけど、パスワード登録する気になれない。
それができたなら名簿盗む以外にも当然いろいろやったよな？
twitter備忘録: 暗号手法を変える時のことを考えて、パスを復号できるようにしたくなるけど、2つのハッシュ方式を並行で使えるようにして、ユーザーがパスワード変える時にハッシュ方式を切り替えればいいとのこと
シンプルな代理ログインで逃げたツケかな?! (ノ∀`)
「最新のハッシュ化方式」、この言葉はソースネクスト側の言葉なのでそのまま載せるのは構わないけど、それに対して反論できない記者はどう考えてもおかしい。時系列を考えれば、すでにあった技術。
既ブコメにも指摘があるが、"最新のハッシュ化方式"って言うがインターネット黎明期の1990年代後半にはCGIでのパスワード保存方法としてハッシュ化は書籍に載っていた記憶。
1passwordの関係で縁が切れない・・・。再登録は、さすがにジェネレーターで作ったパスワードにした。
暗号化でなくハッシュ化しておけば、まだ被害範囲は限定できたのに・・
これ因縁をつけるような内容の記事か? とてもそうは見えないのだが。ソースネクストが暗号のハッシュ化保存の意味もまともに理解していないこと、ハッシュ化していないことを隠蔽していることは十分読み取れる。
最新でなくたって、前世紀ですらMD5やSHA1はあったんだぜ / 1passwrdはAgileBitsで直接買いましょう
↓1970年に一般化してたら、そのあとに一般化したインターネットのWebシステムで平文保存は駄目って言われるわけないだろ。一般化していないから平文保存されて駄目出しされたんだよ。
まあ10年前に在籍してた会社も平文だったからね。理由はパスワードを教えろという客があまりに多いから。もちろんそういう客なのでパスワードを自分で設定するということができない
パスワードマネージャーを販売してる会社なんだがなあ、ここ
「暗号化されたパスワードを復号するための鍵にアクセス可能なAPIに不正アクセス」「復号鍵は流出していないが復号されたパスワードが外部に流出」→「平文パスワード取れるAPIがあった」ってことかｗ？回りくどいわ。
やはり馬鹿が馬鹿相手に商売してたんだな
けっこう詰めるやん やりますね。必死に平文じゃない！って言い訳してるけど無理があるよね
ここの会社セキュリティ対策ソフト出してたよな。お粗末にもほどがある。
全然ソースをネクストしてない
化石以前。とてつもなくおかしい話。最低限salt無ければ話にならない
さいしん？？？寝言は寝て言ってくださいね/連携先の古い仕組みが足枷になるのは経験あるが、そこはエンジニアの良心に照らして闘うべきよ（リスクを説明する→まともな顧客側担当は責任とれないので連携を諦めます
ソースネクストの最大約2252万件漏えい。パスワードは暗号化保存していたが、復号鍵にアクセスできるAPIが侵害され、平文で流出。ハッシュ化へ未移行。全顧客のパスワードをリセット、再設定後の管理方式は非公表。
パスなんざ運用側でも復号できないように組むのに。
「最新の」はMD5とかじゃなくてSHA256って意味じゃないの？（好意的解釈）
事件が起きたからといって、即座にハッシュ化対応できるわけないわけで、せいぜい入口塞いで中はおんなじでしょうよ。
ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」
やっぱりめちゃくちゃ古いシステムなのか。当時のリアルは知らないけど、20世紀生まれのWebアプリケーションならパスワードのハッシュ化は一般的じゃないでしょ
おいおい
ここ、セキュリティソフトを売ってるサイトなんですよ。笑っちゃうね。
うーむ
最新のハッシュ化方式
ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」
セキュリティソフトを売ってる会社なら、認証認可の適応保守は手を抜いちゃダメでしょう…。（中のITのひと可哀想すぎる）
ちょっと意味がわからない。パスワードのハッシュ化保存は1970年代に一般化した方式なのに
パスワードを教えろという馬鹿客向けに保存してたのだろうけど
そーすね(sigh)
パスワードをハッシュ化せずに復号可能にしておいたのは、悪用を考えてたのかなとすら思う。
可逆暗号で保存してAPIで平文復号して返す設計とか擁護の余地ないだろ。ハッシュ化怠ったツケが一気に来たな
パスワードのハッシュ化とかITパスポート案件（≒初級シスアド）レベルでしょ…
"パスワードを復号するための鍵""当該システムは開発時期が古く""ライセンス管理システムとの連携など、パスワードが必要な作業で使う""今回の事案を受け、必要なセキュリティ対策はすでに実施している"……
事実は分からんが、ITリテラシー最底辺層向けサービスを売る会社だけに、パスワード忘れた客に平文で教えてあげるワークフローをどうしても捨てられなかったんじゃないかと思ってしまう
ライセンス管理システムにパスワード平文でそのまま送らないといけないからハッシュ化ではなく暗号化して複合可能にしていたと。ライセンス管理システムもハッシュ方式合わせりゃいいようにしか思えないのだが
噓つきは泥棒の始まりだよ
あほか
古いって言ってもさあ、ハッシュの一般化より古いってことは無いべ？仮に最初の作りがいい加減だったとしてもよ、この規模で個人情報扱ってて、改修せず後回しにしていいってことにはならんよ。
「最新のハッシュ化方式」←いや全然最新じゃねーよ。標準仕様だよ。
こらこらこらこら、なんで復号しようとするの
ハッシュ化保存の一般化はOSレベルと業務アプリケーションでは歴史が異なるので、自分がSI業界に入った2000年代のクラサバが主流だった頃は暗号化や平文は結構あったかな。流石にそこまで古くはないだろうけど
おそらく実態は割とザルというのはこの会社に限らずで、「たぶん大丈夫だと思うからリリースしようぜ」で多くの仕事は成り立っている
本当に平文で流出してたんかい！
システムの開発時期が古く、最新のハッシュ化方式へ移行できていなかった > このレベルの低さは異常。
どんな言い訳しようが平文で漏れちゃってる以上、取り返し付かんよねぇ
パスワードが複合可能な状態であるという事がもうアカンのだが。
攻撃されたAPIでは、暗号化していたパスワードを復号した状態で取り出せたのかな？
昔はパスワードがメールで送られてくることもよくあったしね。
複合可能だったと言うことですな
パスワード保存可能なマネフォとかも大丈夫か不安になるな。
ど素人。「暗号化って復号可能でしょ！？」というレベルで、よくセキュリティソフト売ってたな。大手コンビニのセキュリティ担当役員が記者会見で「ニヨウソニンショー？」と意表を突かれたのに似ている
「パスワードは暗号化して保存していた」←暗号化は復号できるわけで“ダメじゃん”「パスワードをハッシュ化していなかった理由……当該システムは開発時期が古く」←どれくらい古いのか分からないが。
じゃあ山口健太氏は誰に取材したというんです？//山口氏の反応 https://x.com/yamaguc_k/status/2112041372740096025 やさしいねえ。正式回答ではないだなんて、記者の信用を致命的に毀損しうる激ヤバ発言ですけどね。
"最新のハッシュ化方式" 大草原。2011年の徳丸本初版の時点でhash+saltまでは常識で、ストレッチングは徳丸本で初めて見たような気がする
Web開発周りで安全なハッシュ化が標準的に利用できるようになったのは2010年代前半、12-14年ぐらい前／適切なリスク評価がされず更改せずに運用してきたのかな
流石のソースネクスト
数日で対応してるのに、「当時採用した暗号化方式を継続して使用していた」は、誰でも知ってる複合可能という明らかな穴を放置した言い訳にならんだろ。
最新とは。元々移行出来ていなかったシステムをこの短期間で載せ替えられるはずもないよな
暗号化したパスワードと復号鍵を同じ場所に置いておけば便利だからね。パスワード付きzipとパスワードを両方メールで送るPPAPみたいに手間をかけてセキュリティ強度ゼロみたいな。
さりげなく山口健太氏の実名をだして喧嘩を売っている記事だね。岡田有花氏の書く記事はこういう余計なノイズが多い。地に足のついたわかりやすい記事を書く山口健太氏とは記事のレベルに埋めようのない差があります
CTOやCIOはいないんか？復号可能なパスワードを保持するリスクなんてずっと前から言われているし、ハッシュ化するコストはそんな高くないでしょう。
ソースネクストは廃業して、現経営陣を排除したソースネクストクストを設立すべきだな。
年賀状ソフトで登録したパスワードを変更したけど、ソフト側でログインとクラウド保存がうまくいかなかったな。
ばんなそかな
いろんな視点で「えぇ…」が出てきそうな記事
いろんなアプリを買収して扱ってるからブラックボックスがあるんだろう。買収アプリの認証が固有の認証システムだけで、ソースネクストの認証システムは橋渡しだけとかね
また流出してしまった。
ここってIT企業じゃなくて、他社製品を売る商社だと思ってた。
今でもdアカウントは復号可能な形で保存してるっぽいんだよな。9千万アカウント以上あるらしいよ。 https://id.smt.docomo.ne.jp/src/utility/pw_forget2_spconfirm.html
ハッシュを復号できる鍵があるのか。世界の法則が乱れるどころの話じゃない大発明を秘匿してんだなこの会社は
"APIの戻り値にパスワードを含めていた理由について「ライセンス管理システムとの連携など、パスワードが必要な作業で使うため」と回答" ハッシュ化の件も含めシステム全部作り直さないとやばいレベルじゃない？
パスワードをリセットしたから再登録して、とのメール来たけど、パスワード登録する気になれない。
それができたなら名簿盗む以外にも当然いろいろやったよな？
twitter備忘録: 暗号手法を変える時のことを考えて、パスを復号できるようにしたくなるけど、2つのハッシュ方式を並行で使えるようにして、ユーザーがパスワード変える時にハッシュ方式を切り替えればいいとのこと
シンプルな代理ログインで逃げたツケかな?! (ノ∀`)
「最新のハッシュ化方式」、この言葉はソースネクスト側の言葉なのでそのまま載せるのは構わないけど、それに対して反論できない記者はどう考えてもおかしい。時系列を考えれば、すでにあった技術。
既ブコメにも指摘があるが、"最新のハッシュ化方式"って言うがインターネット黎明期の1990年代後半にはCGIでのパスワード保存方法としてハッシュ化は書籍に載っていた記憶。
1passwordの関係で縁が切れない・・・。再登録は、さすがにジェネレーターで作ったパスワードにした。
暗号化でなくハッシュ化しておけば、まだ被害範囲は限定できたのに・・
これ因縁をつけるような内容の記事か? とてもそうは見えないのだが。ソースネクストが暗号のハッシュ化保存の意味もまともに理解していないこと、ハッシュ化していないことを隠蔽していることは十分読み取れる。
最新でなくたって、前世紀ですらMD5やSHA1はあったんだぜ / 1passwrdはAgileBitsで直接買いましょう
↓1970年に一般化してたら、そのあとに一般化したインターネットのWebシステムで平文保存は駄目って言われるわけないだろ。一般化していないから平文保存されて駄目出しされたんだよ。
まあ10年前に在籍してた会社も平文だったからね。理由はパスワードを教えろという客があまりに多いから。もちろんそういう客なのでパスワードを自分で設定するということができない
パスワードマネージャーを販売してる会社なんだがなあ、ここ
「暗号化されたパスワードを復号するための鍵にアクセス可能なAPIに不正アクセス」「復号鍵は流出していないが復号されたパスワードが外部に流出」→「平文パスワード取れるAPIがあった」ってことかｗ？回りくどいわ。
やはり馬鹿が馬鹿相手に商売してたんだな
けっこう詰めるやん やりますね。必死に平文じゃない！って言い訳してるけど無理があるよね
ここの会社セキュリティ対策ソフト出してたよな。お粗末にもほどがある。
全然ソースをネクストしてない
化石以前。とてつもなくおかしい話。最低限salt無ければ話にならない
さいしん？？？寝言は寝て言ってくださいね/連携先の古い仕組みが足枷になるのは経験あるが、そこはエンジニアの良心に照らして闘うべきよ（リスクを説明する→まともな顧客側担当は責任とれないので連携を諦めます
ソースネクストの最大約2252万件漏えい。パスワードは暗号化保存していたが、復号鍵にアクセスできるAPIが侵害され、平文で流出。ハッシュ化へ未移行。全顧客のパスワードをリセット、再設定後の管理方式は非公表。
パスなんざ運用側でも復号できないように組むのに。
「最新の」はMD5とかじゃなくてSHA256って意味じゃないの？（好意的解釈）
事件が起きたからといって、即座にハッシュ化対応できるわけないわけで、せいぜい入口塞いで中はおんなじでしょうよ。
ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」
やっぱりめちゃくちゃ古いシステムなのか。当時のリアルは知らないけど、20世紀生まれのWebアプリケーションならパスワードのハッシュ化は一般的じゃないでしょ
おいおい
ここ、セキュリティソフトを売ってるサイトなんですよ。笑っちゃうね。
うーむ
最新のハッシュ化方式