「サービスごとにパスワードの使い分け」が重要な理由について書いてみようと思う。
「パスワードの使い分け」が重要な理由
一つのサービスのパスワードが何かしらの理由で漏洩した場合、その他のサービスにまで影響が及ぶ可能性がある
メールアドレスをログインに用いているサービス、メールアドレスをIDの代わりにログインに用いる事が出来るサービスというのは多いので、何かしらの理由でサービスAのパスワードが漏洩した場合、パスワードとサービスAに登録しているメールアドレスのセットで、他のサービスへのログインを試みる事が出来る。
同じパスワードを使いまわしているような方は、IDを任意に設定出来るサービスでも同じIDを利用している事が多いと予想出来るので、「IDとパスワードのセット」でも他サービスへの認証を試みる事が出来る。
サービスB・サービスC・サービスD…等、その他のサービスでも同じメールアドレスとパスワードのセットを用いている場合、それらのサービスの認証を許すことになる。
この手の「何かしらの理由で漏洩した大量の『IDやメールアドレス/パスワード』の組み合わせのリスト」を用いて、サービス単位で大量認証を試み、それらのサービスのユーザのアクセス権を大量入手を試みるリスト型攻撃も現実に存在する。
この手の攻撃を避けるためには、多少面倒でも、サービス毎にパスワードを用いる事が重要。
先日の「Twitterがログレベルでハッシュ化されてないパスワードを保存していた問題」で全てのユーザに対してパスワードの変更を促していたのはそのため。
あくまでログレベルであり、悪用された形跡は無くとも、ユーザが任意に設定したパスワードが生の状態で保存されていたという事を問題視したもの。
あえて公表した上で注意喚起したTwitter社の姿勢は素晴らしいと思う。
最低でも「メールアドレスのパスワード」はゼッタイにその他のサービスで利用しない事
サービスAとサービスAに登録しているメールアドレスのパスワードが同じだったとする。
サービスAのパスワードが漏洩した場合、パスワードが同一なので、メールへのアクセスが可能となってしまう。
メールから利用している他サービスもわかるので、その他のサービスに対しても「同一のパスワード」でのアクセスを試みる事が出来てしまう。（メールアドレスのパスワードさえ、他サービスと使いまわしている人間がその他のサービスでも同一のパスワードを用いている可能性は高いと考える事が出来る）
細かい事を言うなら、そもそもメールを受信できる事を担保として「パスワードの再設定・再発行」を行うサービスも多いので、メールのパスワードが漏洩した時点で、そのメールアドレスで登録している各種サービスへの全てのアクセス権を得る事も可能。
攻撃者によりメールアドレスのパスワードを変更された場合…とか言い出すと本当にキリが無いくらいに致命的。（多くのサービスでメールを受信出来るという事を本人確認としているので、それらのサービスで本人確認する手段を失ってしまう。）
話は変わって、「ユーザが任意設定したパスワードはハッシュ化して保存されサービスの管理者でも知る事ができない状態になっている」というのがナウな実装ではあるけれど…
別記事でも書いている通り、ユーザが任意設定したパスワードは復号化できない形で保存され、システム管理者でさえその任意設定した文字列を得る事ができないというのがトレンドな実装ではあるけれど。
システム管理者どころか、オペレータレベルでユーザが任意設定したパスワードを確認出来るようなサービスや、パスワードの再発行を行ったらユーザが設定した生のパスワードをそのまま送りつけてくるようなサービスも未だに存在する。
その手のサービスの場合、仮に「中の人」が悪意をもって〜・・・なんて言い出すとキリがないし、IDやメールアドレス/任意設定するパスワード等をリスト化するために悪意を持って公開されているサイトなども存在するので…。
サービスやサイトごとにパスワードは別のものを用いるのが好ましい。
コメント