Twitterがやらかした話について
今すぐTwitterのパスワードを変えよう | TechCrunch Japan
| 木曜日（米国時間5/3）Twitterは、バグのためにユーザーパスワードが隠蔽されていない形式で保存されていたことを公表した。通常、パスワードのような機密データは様々な文字と数字を使ったハッシュ形式で保存され、パスワード文字列そのものは保護されている。今回Twitterは、内部ログにパスワードをハッシュなしの平文形式で保存していたものと思われる。 |
というか、この書き方だと、ちゃんと保護されていたのなら問題ないのではと思ってしまう
まず、「機密データは様々な文字と数字を使ったハッシュ形式で保存され」と書いてるけど、
ハッシュは、データそのものを保存するのではなく、復元不可能な、データを間引いた、指紋データのような形式なので生のデータを保存するわけではなく、サーバーに残ってるハッシュデータだけでは、元のデータを復元できないようになってるのがポイントなのだ。
だからTwitter社は「ハッシュという意味のない文字列を保存している」と言ってるのだろうが、それは、元のデータが十分に長い場合に限られる。
元のデータが短い場合は、膨大な計算時間をかければ復元できる可能性が高い。
逆に、適当なパスワードを作って、そのハッシュデータを大量に吐き出せば、アルゴリズムさえ分かっていれば、元のパスワードを類推することだって可能なのだ。
なんか、根本的なセキュリティリテラシーの欠陥があるんじゃないかとさえ思える。
そして『内部ログにパスワードをハッシュなしの平文形式で保存していたもの』と書かれているが、
パスワードそのものをログ（サーバーのソフトの状態を見るための記録ファイル）に書き出していたこと
が問題なのだ。
おそらく、パスワードを設定する時の処理の内容をデバッグ用のログにそのまま出力してしまったのが原因なのではないかと思う。
あと、Twitter社のサーバーにある、ログの中に、生のパスワードデータがあることがわかったのなら、ハッカーの格好の的になってしまう。
Twitter 社が
| われわれはこのエラーを自ら発見し、パスワードを削除するとともに、このようなバグが再発しないよう対策を検討している |
と、ログ内のパスワードを既に削除したと言っているが、５年分の数十億人分のログファイルからパスワードだけ正確に削除できたのか確証はできないのでやはり、パスワードを変更するのは必要だと思われる。
| パスワードが発見される可能性は極めて低く、内部調査の結果侵入あるいは不正利用を示す兆候がないことを強調した。 |
とのことだが、やらなくてはならないのは、ニュースになってしまった今後、不正侵入や不正利用の兆候が現れないかをちゃんと観察することだと思う。
ここ数年、Twitter社のやってることはデタラメなので、正直あんまり信用していない
Translate
元のパスワードが短くてもソルト付きなら類推は困難にならないでしょうか？Twitter社が行っていたかは別ですが。
パスワードに対するソルトは大概は、パスワードを長くして強固にする意味合い
が多いので、結局は計算量かなと。
ソルトも、アルゴリズムによっては、処理がバレれば全く意味なくなるものも
多いです。（某メッセンジャーなんかそうですしね ( ˘ω˘)）
それでかぁ。ネタにされていた理由は…。
◆「最強パスワード選手権」開催 最優秀パスは来年発表 (虚構新聞)
結局、自力でコードを組んで、１～３文字毎に人力介入し、乱数を散らすものを用意しろと。
ソースが無い場合、１ボタンで一括して生成するタイプも、怪しいと思わないといけない。
同時期にgithubも同じ不具合を発表しています。
多分、twitter/github両方が採用していた何かのプログラムに問題があった可能性が高いですね。