地震じゃなくてホントはこっちの緊急記事を書きたかったｗ
これこそ緊急案件だ。ソースネクストはパスワードが流出したと言ってる。
パスワード流出というのは業界的にはまずあり得ない話なのだが、とんでもなくセキュリティ意識の低いシステムだった可能性がある。
流出した可能性がある情報は多岐にわたる。メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名のほか、加入サービスやログイン日などのシステム識別情報が含まれる。
特に警戒を要するのがパスワードの流出だ。同社は二次被害防止に向け、ログイン時のパスワード再設定を求める措置を講じた。また、同じパスワードを他社サービスで使い回している場合、第三者が「リスト型アカウントハッキング」と呼ばれる不正ログインを試みるリスクがあるとして、他社サービス側でも速やかにパスワードを変更するよう呼びかけている。
一つの所でパスワードが漏れると、それを他のサービスでも使いまわしている場合、入手した犯罪者が総当たりでアカウントを乗っ取ろうとする可能性がある。すぐにでも漏れたパスワードを新しいものに変更した方がいい。今は大丈夫でも、こうした攻撃は逆にしばらく時間が経ってからコッソリ行われることがあるので要注意。敵も用心深いものだ。
そして、この「パスワードが漏れる」という件。
まともなセキュリティ意識を持った組織のシステムなら通常こういうことは起こらない。何故ならそういう組織では、そもそもシステムにパスワードを格納していないからだ。
じゃあ、どうやってユーザーログイン時に照合するのか？
これには俗にいう「ハッシュ化」という技術を使う。
ユーザーのパスワードを特殊な「ハッシュ関数」と呼ばれるものを用いて「意味の無い文字列」に変換する。この変換は、元のパスワードが同じなら変換結果が必ず同じ文字列になる。が、これは不可逆性であり、「意味の無い文字列」から元のパスワードへの逆変換は不可能という仕組みになっている。
つまりシステム側にはこの「意味の無い文字列」だけを記録しておけば、ユーザーログイン時に入力されたパスワードをハッシュ関数で変換して照合することが出来る訳だ。これをやっていればシステムをハッキングされても、元のパスワードを読み取られることは決して無い。
これはシステムセキュリティにおいて常識なのだが、ソースネクストではそうしていなかったということだ。パスワードを暗号化してシステムに保管していたらしいのだが、その暗号が可逆性で、暗号文字列から元のパスワードを解読する機能を「会員情報取得API」が備えており、どうもそのAPIをハックされたらしいのだ。わざわざ生のパスワードを取得するサービスを用意しているあたり、ちょっと普通のセキュリティ意識では考えられないような対応ということになる。
ソースネクストは、いろいろセキュリティソフトなどを販売している会社だが、単に何処かから製品を仕入れてライセンス販売しているにすぎず、自身はセキュリティ技術には一切かかわっていない。そのためこうしたセキュリティホールを自分で作り、ソフトなどを購入した多くの登録ユーザーを巻き込んでハックされてしまった訳だ。
このような状況を見るに、一般の人々はもはや何を信じて良いか、何を頼って良いか判らないような世界になっている。
デジ大臣が「自分の身は自分で守って」とか言って炎上してたが、結局日本全体がある程度のレベルの企業も含めてこのザマだからして、あながち他責オンリーの意味だとも言えなくなる。
こんな風にパスワード管理の杜撰な企業も「普通の顔」をしてることが判ったのだから、今手元で自分がパスワードを使いまわしていないか、とりあえず確認するだけはしておいた方が良いというのは間違いなくあるだろうな。