- メールアドレス入力するとそのまま保存されたパスワードが送られてくる会員サイト（peach）があるんだけど未だにこんな設計許されるもんなん？
ふつうパスワードってハッシュ化して保存するもんじゃないの？
俺の認識違いかプログラマーのお前らに教えて欲しい
https://myaccount.flypeach.com/login?lang=jp - 余裕
- >>2
？ - こっわ
- >>3
俺のやばいって認識間違ってないよな？ - ハッキングする価値もないサイトなら別にいいんでね
- >>4
名前、生年月日、電話番号、住所、パスポート、クレカ情報みれるぞ
もちろんすでに予約とった予約情報もいじれるしな
これマスクどころの騒ぎじゃないと思うんだが - その程度のクソ設計はよくある
- >>7
今のご時世こんな設計しても平気なん？ - >>12
くそフレームワークの流用とか - >>15
こんなクソな設計のフレームワークなんて逆にあるん？ - >>12
平気なわけないんだが客はシステムの中身なんかわからんからな - jpcertとipaに報告だ
- >>8
どうやって報告すんの
ちなみにpeachには数年前に報告したけどガン無視されてる
マスクの件で思い出した - >>8
あいつら報告してもなにもしないぞ - ハッシュ化しても八桁だと解析される件
- >>9
無駄にパスワードの登録自体は8桁以上なんだよな - 通報しろ
- >>11
ipaに報告すりゃいいの？ - IPアドレスをソースに埋め込んだサイトもあるくらいだし脆弱性あってもよくあることの印象
- >>13
別にIPアドレスをソースに埋め込んだくらいじゃ個人情報ばれないからそれはよくね？
知らんけど - >>22
個人をただちに特定することができないというのがミソで
同じIPアドレスを使っていれば同一人物の可能性が非常に高いと判断することしかできないが
玩具にされるには格好の物件になるってとこがこないだの騒動で発覚した - すげーな
- >>16
これ個人情報もそうだけど他人の情報で搭乗してハイジャックとかされたら危なくね？ - ヤバすぎ
だけど小規模なサービスとかだとそんなサイト山ほどあるんだろうな - >>20
これを航空会社がやっちゃうんだから怖いよな
しかもANAの子会社だぞここ - ハッシュ戻せるの？
- >>23
戻せたら意味ない
戻せないから漏洩してもノーダメ - >>23
おそらくハッシュ化すらしてない - 超絶クソだとは思うが、悪用する方法が思い浮かばん。
メアド乗っ取られたときのリスクでかくなるくらいか。 - >>24
電子メールの送信の仕組みを調べてみれ - >>26
プロトコルによっては平文で送られるってところ？
それはソコソコまともなところでもリセット用のURLが送られてくるのが多いし今更じゃね？ - >>24
個人情報、カード情報盗み放題じゃん
搭乗券悪用の可能性もでてくるし - >>36
いやメアド乗っ取られてたら何でもそうじゃね？ - いちおうだけどパスワードのお知らせメールはこんな感じでくる
- >>25
このメールどうやったら届くの？ - >>53
Peachのログインページで「パスワードを忘れた場合」からメールアドレスいれて送信すると届く
https://myaccount.flypeach.com/login?lang=jp - パスワード再発行でメールアドレスに送られてくるんだから
すぐに自分でパスワードを変更すればいいんじゃないの？
弱い？ - ああ、DB触れる立場の内部に悪意があるやついたらやばいか。
サーバー運用なんてみんな底辺派遣だろうしな - というかパスワードそのものを保存している時点でアウト
- >>35
それはどうだべか。
天下のマイクロソフトのActive DirectoryのDB見たらパスワードをbase 64エンコードしたものが入ってたよ。
まあadサーバ覗ける時点で何でも出来ちゃうからね。 - ソルト入れてストレッチングするのはさすがに常識だろ
- docomoの話してる？
- 日本企業のセキュリティーはジョーク
何をやらかしても裁判になれば100％企業が勝つんだからだれも金かけない - ハッシュ化して保存するのはサーバ上の話で入力用のパスワードは平文じゃね
で、おそらく最初のパスワードは変えること推奨されてると思うしサーバ上にはログ等管理者が確認できる情報としては持ってないと思われる - アウトオブアウト
メールに書いて届く時点で緩々設計 - 知ってるアドレス突っ込んで嫌がらせ出来るってことか？
普通にやったらすぐバレて捕まりそうだけど - 暗号化してないシステムなんてごまんとある
- さすがピーチ
- 4chanに報告すれば？
IT系の板あるか知らんが - ああ
パスワード忘れたからとメアド入力すると自分が設定した認証用のパスワードがそのままメールで送られてくるってことか
それはパスワード平文で保存してそうでやばいな - >>52
してそうじゃなくてしてないとそうはならんやろ…… - >>56
復元可能な暗号化を施して保存してる可能性も無きにしもあらずじゃね - >>60
あ、たし蟹。 - >>56
してそうっていうのはハッシュ化ではなくて復号可能な暗号化している可能性もあるって意味だよ
もちろんそれもよくはないけど - >>52
新しいグチャグチャな文字列が設定されて送られてくるだろ？ - >>57
ワンタイムパスとかじゃなくて前に設定したパスワードが送られてくるんだよなぁ・・・ - とりあえずIPAには届けといた
- 関わったシステムでパスワード平文で保存されてたことあったけど
結合テスト用の設定でそうなってるものだとばかりおもってた - やってみたけど文字の羅列が送られてきただけだわ
たまたまパスワードと同じ文字列だった可能性とかないの？ - >>64
これしかないじゃん
当たり前じゃん - >>64
ハハアン。運用途中でこりゃヤバいってなって途中からハッシュに変更したな？
で過去のレコードは放置して条件分岐してるな？ - >>67
条件分岐の理由が無いのが謎だな
再発行であれば既存パスワードなんて捨ててしまって構わないのだから分岐する必要がない - >>69
それもそうか。余計な労力かけたくないもんな。
でもそれ以前にもパスワードを忘れたときのロジックが用意されてたはずで既存のロジックに手を加えたくなかった……とかは？ - >>70
ありえるし、顧客の要望に押された可能性もありそう
怖E - >>75
前俺の仕事でそう言う要望あったな
困惑 - >>64
文字の羅列？
設定したパスワードじゃなくてランダムなパスワードが送られきたってこと？ - Togetterに報告だ
- 昔はよくあったな
- 俺はついさっき登録したばっかりだが
パスワードがそのまま書かれたメールが飛んできたぞ - パスワードが届くのと
パスワード変更URLが届くの
大差なくね？ - >>74
パスワード変更urlは一回限り有効で時間が経つと無効になる
パスワードが書かれたメールは宛先メールアドレスとセットで残り続ける - >>77
メールが盗聴されるケースを考えると
大差ない気がする
どっちにしろアカウント乗っ取られね？ - >>74
うん、大差ないよ。 - 具体的にどうなるの？
- あれ書けない？
- >>1それだけでは「パスワードが平文のまま保存されている」と決まったわけではないな。
依って、認識違いである可能性がある。 - 他のサービスとパスワード使い回しているケースで
他のサービスも乗っ取ららることは考えられるか - 大丈夫だよ
糞みたいなフリーメール使ってなきゃ
メールでの通信そのもののセキュリティリスクが低くなってるから - メール送信元
mail.booksecure.net（66.35.82.50）なんだけどこれどこの会社だろ
【Peach】プログラミングしてるやつとかSEに聞きたいことあるんだけど【飛行機】
VIP
コメント