アカウント名:
パスワード:
> パスワードが直接閲覧できるわけではないが、ハッシュを読まれてしまうと総当たり攻撃などによってパスワードを解読されてしまう可能性がある。
可能性を言い出したらキリが無いわけですが。
攻撃者のローカル側で総当りを試せるので、認証失敗時のアカウントロック等で総当り攻撃を制限する方法の意味がなくなるといったところでしょうか。
単純にハッシュの強度に依存することになるので、今後のプロセッサ技術の進歩により、セキュリティが弱くなる可能性がありそうです。
ローカルで総当たり・・・つまりハードウェアを盗んでじっくりパスワードの解読が出来るってこと？まずローカルにアクセス出来るってことは・・・セキュリティ的にはあれだがw
管理者権限でいつもログインしている自分は関係ないかwww
ハードウェア盗まなくても、Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性があるということです(最悪リモートからも)。そして、取得されちゃったハッシュは「攻撃者のローカルなコンピュータ」で気の済むまで解析されちゃう可能性があるってことです。
今だから白状するけど、昔NEXTSTEPのNetinfoシステムも、デフォルトの設定だとリモートからアクセスできて、パスワードハッシュが取れたことがありました。ファイヤーウォールがないと、スコーンとアクセスできちゃいました。で、クラックコードはしらせたら、短いパスワードは解析できちゃってビビッた覚えがあります。
＞Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性がある
そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
まぁマルウェアなどと組み合わせて、多くのMacからハッシュを集めるようなことでも・・・そんなに大量のハッシュだと解析するのに時間がかかって意味ないかw
>そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・>そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
そんな単純な話で済んだら、ネットセキュリティの世界は平和になるんだろうなあ。無知って本人だけは幸せでいいですよね。
>まぁマルウェアなどと組み合わせて、多くのMacからハッシュを集めるようなことでも・・・>そんなに大量のハッシュだと解析するのに時間がかかって意味ないかw
マルウェアで解析までさせちゃうんじゃないの？解析済みのパスワードをせっせと外部サーバに送信して、外部から侵入し
Mac OS XのユーザIDとStoreのIDは全くの別物ですよ
> そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・
クラッカーは、多くは奇妙で特殊なひとだよ(^_^;)。
> そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
そんな馬鹿なWebアプリでも、今まではハッシュまでは取られることがなかったのに、Lionになってとられる可能性がでてきたので、どうよ、っていうことではないでしょうか?
昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。クライアントで使ってる分にはいいのかなぁ...(まあ、ちょっといやだけど、考え方は人それぞれだし、それは尊重しますよ :-)。
> 昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。
Mach(Darwin)のMach-Portへのアクセス権はケーパビリティベースのセキュリティをとってる。したがって、動かすプログラムによって、ブートストラップ名前空間をかえて、権限をしぼったりできるようになってるかもしれない。Technical Note TN2083:デーモンとエージェント [apple.com]好意的解釈だけど...。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds
それは驚いた。 (スコア:0)
> パスワードが直接閲覧できるわけではないが、ハッシュを読まれてしまうと総当たり攻撃などによってパスワードを解読されてしまう可能性がある。
可能性を言い出したらキリが無いわけですが。
Re: (スコア:0)
攻撃者のローカル側で総当りを試せるので、認証失敗時のアカウントロック等で総当り攻撃を制限する方法の意味がなくなるといったところでしょうか。
単純にハッシュの強度に依存することになるので、今後のプロセッサ技術の進歩により、セキュリティが弱くなる可能性がありそうです。
Re:それは驚いた。 (スコア:0)
ローカルで総当たり・・・つまりハードウェアを盗んでじっくりパスワードの解読が出来るってこと？
まずローカルにアクセス出来るってことは・・・セキュリティ的にはあれだがw
管理者権限でいつもログインしている自分は関係ないかwww
Re:それは驚いた。 (スコア:2, 興味深い)
ハードウェア盗まなくても、Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性があるということです(最悪リモートからも)。そして、取得されちゃったハッシュは「攻撃者のローカルなコンピュータ」で気の済むまで解析されちゃう可能性があるってことです。
今だから白状するけど、昔NEXTSTEPのNetinfoシステムも、デフォルトの設定だとリモートからアクセスできて、パスワードハッシュが取れたことがありました。ファイヤーウォールがないと、スコーンとアクセスできちゃいました。で、クラックコードはしらせたら、短いパスワードは解析できちゃってビビッた覚えがあります。
Re: (スコア:0)
＞Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性がある
そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・
そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
まぁマルウェアなどと組み合わせて、多くのMacからハッシュを集めるようなことでも・・・そんなに大量のハッシュだと解析するのに時間がかかって意味ないかw
Re: (スコア:0)
>そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・
>そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
そんな単純な話で済んだら、ネットセキュリティの世界は平和になるんだろうなあ。
無知って本人だけは幸せでいいですよね。
>まぁマルウェアなどと組み合わせて、多くのMacからハッシュを集めるようなことでも・・・
>そんなに大量のハッシュだと解析するのに時間がかかって意味ないかw
マルウェアで解析までさせちゃうんじゃないの？
解析済みのパスワードをせっせと外部サーバに送信して、外部から侵入し
Re: (スコア:0)
Mac OS XのユーザIDとStoreのIDは全くの別物ですよ
Re:それは驚いた。 (スコア:1)
まあそこまで侵入できたら、ブラウザが覚えてるパスワードを狙った方が早そうだけど。
Re: (スコア:0)
> そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・
クラッカーは、多くは奇妙で特殊なひとだよ(^_^;)。
> そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。
そんな馬鹿なWebアプリでも、今まではハッシュまでは取られることがなかったのに、
Lionになってとられる可能性がでてきたので、どうよ、っていうことではないでしょうか?
昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。
クライアントで使ってる分にはいいのかなぁ..
.(まあ、ちょっといやだけど、考え方は人それぞれだし、それは尊重しますよ :-)。
Re: (スコア:0)
> 昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。
Mach(Darwin)のMach-Portへのアクセス権はケーパビリティベースのセキュリティをとってる。
したがって、動かすプログラムによって、ブートストラップ名前空間をかえて、
権限をしぼったりできるようになってるかもしれない。
Technical Note TN2083:デーモンとエージェント [apple.com]
好意的解釈だけど...。
Re: (スコア:0)