ハッシュは不可逆変換なのに復元できるとか
バカなこと言ってる雑魚は死んどけよ
|
|
|
あ
3 ：名無しさん必死だな：2011/05/01(日) 17:29:54.49 ID:2pL+iaLJO
またピンポイントの擁護やな〜
で？
5 ：名無しさん必死だな：2011/05/01(日) 17:31:57.07 ID:j0nTL0fu0
パスワードはハッシュ化でクレカ番号は暗号化だっけ？
クレカ番号の方がやばいじゃん！
クレカ番号の方がやばいじゃん！
あ〜、今後はこれに縋るわけか。
・クレジットカード情報はほかの場所にあり，それは暗号化されていた。
・クレジットカード以外の情報はハッシュ化されていた
・ハッシュの種が漏れたかは不明だが、仮に種が漏れていても不可逆変換である
以上
・クレジットカード以外の情報はハッシュ化されていた
・ハッシュの種が漏れたかは不明だが、仮に種が漏れていても不可逆変換である
以上
え？ハッカーがPSN利用者なら、平文とハッシュ化したデータの両方持ってるだろ
そこからハッシュアルゴリズムを特定すれば復元可能ですが？
そこからハッシュアルゴリズムを特定すれば復元可能ですが？
ハッシュ化されてたのはアカウントパスワードだけで
暗号化されてたのはクレジットカードのセキュリティコード三桁だけな
暗号化されてたのはクレジットカードのセキュリティコード三桁だけな
>>8
終了か
終了か
じゃあなんでパスワードの変更を求めてるんだ？
ハッシュ化してるならなぜパスワード変えろっていってんの？
>>8
不可逆変換の意味分かってんのかこのバカ
不可逆変換の意味分かってんのかこのバカ
14 ：名無しさん必死だな：2011/05/01(日) 17:37:08.13 ID:NLPf1JX9O
>>1
はい、終了〜
はい、終了〜
>>13
不可逆変換の意味分かってんのかこのバカ
不可逆変換の意味分かってんのかこのバカ
パスワードはハッシュとして
個人情報をハッシュする意味が分からない。
個人情報は暗号化しないなら平文じゃね。
個人情報をハッシュする意味が分からない。
個人情報は暗号化しないなら平文じゃね。
17 ：名無しさん必死だな：2011/05/01(日) 17:38:42.49 ID:j0nTL0fu0
ていうかパスワードぐらいの短い桁のハッシュ化なら総当りでいけるだろｗ
ハッシュ化してるならなぜ初日に発表しなかったの？
19 ：名無しさん必死だな：2011/05/01(日) 17:40:31.44 ID:GcREeGJ80
つうか不可逆ならパスワードとして使えなくね？
てか不可逆ってなんの意味があんの
この事態をまねいたSCEの人間が後付けでハッシュ化してますって言っただけだからな
どこまで信じて良いのかわからんよｗｗｗｗ
どこまで信じて良いのかわからんよｗｗｗｗ
ということは1度変換したら終わり、元のパスワードを知る手段はないって事か
>>20
認証時に入力されたパスワードを同じ種で変換して、変換後の値とサーバ上の値で同一かをチェックすればいいからパスワードとして使える。
ただSonyが本当に正しい事を言っているかは不明なので、安心しない方がいい。
認証時に入力されたパスワードを同じ種で変換して、変換後の値とサーバ上の値で同一かをチェックすればいいからパスワードとして使える。
ただSonyが本当に正しい事を言っているかは不明なので、安心しない方がいい。
27 ：名無しさん必死だな：2011/05/01(日) 17:42:45.97 ID:4xNAYk7s0
ハッシュは暗号じゃねぇ。
例えていうなら手形みたいなもんだ。
パスワードが改竄されてないことを証明するための付加データ。
こんなもんセキュリティの向上に、なんの貢献もしねぇ。
例えていうなら手形みたいなもんだ。
パスワードが改竄されてないことを証明するための付加データ。
こんなもんセキュリティの向上に、なんの貢献もしねぇ。
これ、どんどん海外で突っ込まれてるよ
多分、相当不味い事になると思う
もう一度アナウンスし直すね、きっと
多分、相当不味い事になると思う
もう一度アナウンスし直すね、きっと
>>25
そりゃサーバ側はハッシュ値だけ知ってれば、送られてきたパスの変換後のデータと照らし合わせるだけでいいからな
そりゃサーバ側はハッシュ値だけ知ってれば、送られてきたパスの変換後のデータと照らし合わせるだけでいいからな
ハッシュのアルゴリズムが分かれば、変換元のパスワードはわからなくても同じハッシュ値に変換される別のパスワードは作れるんじゃね？
まあ総当たりとどっちが楽かしらんけど。
まあ総当たりとどっちが楽かしらんけど。
本当に不可逆なら照会できないじゃん
何のために保持してるんだお？
何のために保持してるんだお？
こういう恥ずかしいスレは
立てないほうがいいよ…
立てないほうがいいよ…
33 ：名無しさん必死だな：2011/05/01(日) 17:44:50.26 ID:b713DRbo0
えーそうなのー
はちまブログでは、「あーなんだハッシュ化してるなら大丈夫じゃん。チカクン残念でしたｗ」
ってコメで溢れかえってるから
騙されたわー
はちまブログでは、「あーなんだハッシュ化してるなら大丈夫じゃん。チカクン残念でしたｗ」
ってコメで溢れかえってるから
騙されたわー
7000万件も漏れてるとなあ
キー解析なんかしなくても
ハッシュ値を多い順に並べると
ありきたりなパスワード使ってる奴が分かるんだよ
キー解析なんかしなくても
ハッシュ値を多い順に並べると
ありきたりなパスワード使ってる奴が分かるんだよ
ハッシュ、衝突、バースディアタックなどでぐぐれ
お前が一番恥ずかしい>>1
お前が一番恥ずかしい>>1
36 ：名無しさん必死だな：2011/05/01(日) 17:45:09.11 ID:gSiGhaTM0
てかなんでハッシュ化はして暗号化はしてなかったの？
ハッシュに変換する前の文字列と、変換後のハッシュの対応テーブルを事前に作っておくことで、
辞書攻撃が可能になるから、あんまし大丈夫じゃないよ。
変換後のハッシュから返還前の文字列を計算するのは大変だけど、
変換後のハッシュ同士を突合して合致するかどうかを比べるのは簡単だから。
辞書攻撃が可能になるから、あんまし大丈夫じゃないよ。
変換後のハッシュから返還前の文字列を計算するのは大変だけど、
変換後のハッシュ同士を突合して合致するかどうかを比べるのは簡単だから。
r'"PS3愛ヽ
(_ ノノノノヾ)
6 `r._.ュ´ 9
|∵) e (∵| ﾊｯｼｭﾊｯｼｭﾊｯｼｭｯｼｭｯｼｭｯﾞ
彡イ｀-ニニ二‐' ミへ
三. ｉ! ゛ヽ、 Ｙ" r‐!、 ヽ.
三 ヽ. 、 ''´⌒ゝ-‐'" _ィ》 Y!
＼＿|!＿二|一"f , !゛＼ 三
〈, l|゛》-i|┴ーi´ / イ ´ i! 三
♪ ゛ー-ニ二＿_,／ ／ / 三 ♪
/゛ У ／ ／ 三
//,/-‐、 ／
i! _{! j!'〈 ♪
／ ,,.ノ ＼'' ヽ ＼
〈 ーぐ ＼ ヽ
゛ー″ 〉ー- 〉
〈＿__ノ
(_ ノノノノヾ)
6 `r._.ュ´ 9
|∵) e (∵| ﾊｯｼｭﾊｯｼｭﾊｯｼｭｯｼｭｯｼｭｯﾞ
彡イ｀-ニニ二‐' ミへ
三. ｉ! ゛ヽ、 Ｙ" r‐!、 ヽ.
三 ヽ. 、 ''´⌒ゝ-‐'" _ィ》 Y!
＼＿|!＿二|一"f , !゛＼ 三
〈, l|゛》-i|┴ーi´ / イ ´ i! 三
♪ ゛ー-ニ二＿_,／ ／ / 三 ♪
/゛ У ／ ／ 三
//,/-‐、 ／
i! _{! j!'〈 ♪
／ ,,.ノ ＼'' ヽ ＼
〈 ーぐ ＼ ヽ
゛ー″ 〉ー- 〉
〈＿__ノ
42 ：名無しさん必死だな：2011/05/01(日) 17:48:04.34 ID:huM5zhzv0
>>20
ハッシュによるパスワード認証の仕組み
・パスワード「aaaaa」を設定する
・ハッシュアルゴリズムで「594f803b380a41396ed63dca39503542」に暗号化する
・暗号化したパスワード「594f803b380a41396ed63dca39503542」をデータベースに保存する
・ハッシュアルゴリズムは復元不可能であり、「594f803b380a41396ed63dca39503542」から元のパスワード「aaaaa」を求めることは不可能
・ログイン時にパスワード「aaaaa」を入力する
・ハッシュアルゴリズムで「594f803b380a41396ed63dca39503542」に暗号化する
・入力したパスワードのハッシュ値「594f803b380a41396ed63dca39503542」とデータベースに保存された暗号化パスワード「594f803b380a41396ed63dca39503542」が一致していれば正しいパスワードを入力したと判断する
従って復号する必要はない
ハッシュによるパスワード認証の仕組み
・パスワード「aaaaa」を設定する
・ハッシュアルゴリズムで「594f803b380a41396ed63dca39503542」に暗号化する
・暗号化したパスワード「594f803b380a41396ed63dca39503542」をデータベースに保存する
・ハッシュアルゴリズムは復元不可能であり、「594f803b380a41396ed63dca39503542」から元のパスワード「aaaaa」を求めることは不可能
・ログイン時にパスワード「aaaaa」を入力する
・ハッシュアルゴリズムで「594f803b380a41396ed63dca39503542」に暗号化する
・入力したパスワードのハッシュ値「594f803b380a41396ed63dca39503542」とデータベースに保存された暗号化パスワード「594f803b380a41396ed63dca39503542」が一致していれば正しいパスワードを入力したと判断する
従って復号する必要はない
44 ： ◆HKcCfCaqko ：2011/05/01(日) 17:49:05.80 ID:KfIuQQ7S0
ハッシュ化が役に立たないと思うならこのトリップからキーを解析してみてよチカニシ
トリップに例えるとユーザーは#○○○○って入れて
PSNは◆△△△△で判別してるって感じか
PSNは◆△△△△で判別してるって感じか
ハッシュ化する際にソルト値を入れたりしていればちょっとは違うかもしれないけど、
今回はハッシュ化するプログラムとソルト値も抜かれてるかもね。
今回はハッシュ化するプログラムとソルト値も抜かれてるかもね。
47 ：名無しさん必死だな：2011/05/01(日) 17:51:06.26 ID:b713DRbo0
なんでそんな詳しいのキミら
あそこのブログのGKとえらい違いだな
あそこのブログのGKとえらい違いだな
>>44
7700万件分のサンプルデータも用意しないとなw
7700万件分のサンプルデータも用意しないとなw
今回の不祥事は日本だけの問題じゃないから
こんなごまかし言ってもしょうがねえのになにやってんの？
こんなごまかし言ってもしょうがねえのになにやってんの？
50 ：名無しさん必死だな：2011/05/01(日) 17:54:08.57 ID:rnKB//d+0
>>44
7700万件のサンプルもあれば。
7700万件のサンプルもあれば。
総当たりや辞書アタックで調べられるというのも、あくまで変換時の種が分かった上での話
2chではクレカを不正利用されたとか、共通パスが漏れたせいで悪用されたとか報告が上がってるけど、
クレカ会社から真っ向から否定されたあげく、パスが漏れたことによる明確な被害例のソースは上がってないからね
2chではクレカを不正利用されたとか、共通パスが漏れたせいで悪用されたとか報告が上がってるけど、
クレカ会社から真っ向から否定されたあげく、パスが漏れたことによる明確な被害例のソースは上がってないからね
>>51
否定したとこ1社しか知らないんだけど
否定したとこ1社しか知らないんだけど
53 ：名無しさん必死だな：2011/05/01(日) 17:57:04.99 ID:4xNAYk7s0
>>42
それは、アルゴリズムを知られてない時の話。
権限のっとられて、データベースのデータごっそりもっていかれました〜
という今回の場合は、それが適用できるかどうか極めて怪しい。
肝心要の、変換手法（アルゴリズム）がもっていかれた可能性ある。
それは、アルゴリズムを知られてない時の話。
権限のっとられて、データベースのデータごっそりもっていかれました〜
という今回の場合は、それが適用できるかどうか極めて怪しい。
肝心要の、変換手法（アルゴリズム）がもっていかれた可能性ある。
54 ：名無しさん必死だな：2011/05/01(日) 17:57:23.35 ID:huM5zhzv0
パスワードクラックの仕組み
・ソースが流出していればバレバレ
・データベース内に「594f803b380a41396ed63dca39503542」や「df51e37c269aa94d38f93e537bf6e2020b21406c」といった、辞書攻撃で見つかる暗号化パスワードがあれば暗号化アルゴリズムを即座に判断できる
・アルゴリズムが判明すれば、レインボーテーブルや総当たりなどで大量に解析できる
・アルゴリズムが判明しない場合
実際にPSNにパスワード「aaaaa」で登録し、暗号化パスワードが同じ値で登録されているデータがあれば、そいつのパスワードは「aaaaa」である
効率は悪いが辞書攻撃などでクラック可能
(大量にあるのだから簡単なパスワード持ちだけ解析しても十分)
・ソースが流出していればバレバレ
・データベース内に「594f803b380a41396ed63dca39503542」や「df51e37c269aa94d38f93e537bf6e2020b21406c」といった、辞書攻撃で見つかる暗号化パスワードがあれば暗号化アルゴリズムを即座に判断できる
・アルゴリズムが判明すれば、レインボーテーブルや総当たりなどで大量に解析できる
・アルゴリズムが判明しない場合
実際にPSNにパスワード「aaaaa」で登録し、暗号化パスワードが同じ値で登録されているデータがあれば、そいつのパスワードは「aaaaa」である
効率は悪いが辞書攻撃などでクラック可能
(大量にあるのだから簡単なパスワード持ちだけ解析しても十分)
なんとなくそれっぽくまとめてみたたぶん突っ込みどころ満載
Q.ハッシュ化って何よ不可逆ってパスワード照合できないんじゃね？
A.文字列を特定のアルゴリズムで変換したハッシュ値というものを保持しておく方法
ログイン時に送られてきたパスワードも同様に変換して照合をするからパスワード自体を保持する必要は無い
Q.それじゃ漏洩しても不可逆なんだしパスわからないし問題ないじゃﾌﾟｷﾞｬｰ
A.変換前の平文と変換後のハッシュ値があるならハッシュ生成用の変換アルゴリズムはばれる
変換アルゴリズムがわかってるならパスワード候補を全てハッシュ値に変換してマッチングすればパスワードはわかる
Q.ちょっとまてその変換前の平文ってなによ
A.データ抜いた人間が事前に自分で登録しとけば自分のはパスわかってるだろ？
Q.ハッシュ化って何よ不可逆ってパスワード照合できないんじゃね？
A.文字列を特定のアルゴリズムで変換したハッシュ値というものを保持しておく方法
ログイン時に送られてきたパスワードも同様に変換して照合をするからパスワード自体を保持する必要は無い
Q.それじゃ漏洩しても不可逆なんだしパスわからないし問題ないじゃﾌﾟｷﾞｬｰ
A.変換前の平文と変換後のハッシュ値があるならハッシュ生成用の変換アルゴリズムはばれる
変換アルゴリズムがわかってるならパスワード候補を全てハッシュ値に変換してマッチングすればパスワードはわかる
Q.ちょっとまてその変換前の平文ってなによ
A.データ抜いた人間が事前に自分で登録しとけば自分のはパスわかってるだろ？
57 ：名無しさん必死だな：2011/05/01(日) 17:58:00.39 ID:Uzdo92HV0
パスワード ２３４５
八種変換 （２＋３）×（３＋４）×（４＋５）
八種値 １１４０
変換アルゴリズムが分からなければ八種からはパスは分からない
システムでは保存した八種値を比較するだけ。
暗号でもなんでもない。
八種変換 （２＋３）×（３＋４）×（４＋５）
八種値 １１４０
変換アルゴリズムが分からなければ八種からはパスは分からない
システムでは保存した八種値を比較するだけ。
暗号でもなんでもない。
>>51
でも何らかのリストをもとにハックされてるとかの報告はあったけどねｗｗ
でも何らかのリストをもとにハックされてるとかの報告はあったけどねｗｗ
59 ：名無しさん必死だな：2011/05/01(日) 18:00:12.74 ID:ITUB/zBY0
ハッシュされてる場合は、辞書とか総当りで攻撃するしかないから、
「Es%$e38ow))1GFH9」とか記号文字も含めたランダムな文字列を
使ってる人は、とりあえず安心して良いんじゃないかな。
英単語＋数字とかバレバレのノーガードなパスワード使ってるなら、
バレちゃってると思ったほうが良いかも…
「Es%$e38ow))1GFH9」とか記号文字も含めたランダムな文字列を
使ってる人は、とりあえず安心して良いんじゃないかな。
英単語＋数字とかバレバレのノーガードなパスワード使ってるなら、
バレちゃってると思ったほうが良いかも…
>>51
犯人が、PSNのパスワードとハッシュの組を手にいれていれば、
ハッシュアルゴリズムは推定可能でしょう。
もっと端的に言えば、犯人が自分や仲間のPSNアカウントを調べて、
パスワードとハッシュの組を探り出せばOK.
犯人が、PSNのパスワードとハッシュの組を手にいれていれば、
ハッシュアルゴリズムは推定可能でしょう。
もっと端的に言えば、犯人が自分や仲間のPSNアカウントを調べて、
パスワードとハッシュの組を探り出せばOK.
>>52
PlayStation Network Credit Card Information Remains Safe, Say Card Companies
http://www.industrygamers.com/news/sony-psn-credit-card-information-remains-safe-say-card-companies/
ブルームバーグでアメリカン・エキスプレス、マスターカードとウェルズ・ファーゴの代表者全員が
これまで不正なクレジットカードでの取引はなかった。購買は今の時点では通常のままであることを確認
JP BANK カードをご利用のお客さまへ
（ソニー・コンピュータエンタテインメントにおける個人情報流出事案）
http://www.jp-bank.japanpost.jp/news/2011/news_id000711.html
不審な売上げ等の形跡はございません。
三井住友VISAカード
ソニー・コンピュータエンタテインメントでの個人情報流出について
https://www.smbc-card.com/mem/cardinfo/cardinfo8090323.jsp
不審な売上げ等の形跡はございません。
PlayStation Network Credit Card Information Remains Safe, Say Card Companies
http://www.industrygamers.com/news/sony-psn-credit-card-information-remains-safe-say-card-companies/
ブルームバーグでアメリカン・エキスプレス、マスターカードとウェルズ・ファーゴの代表者全員が
これまで不正なクレジットカードでの取引はなかった。購買は今の時点では通常のままであることを確認
JP BANK カードをご利用のお客さまへ
（ソニー・コンピュータエンタテインメントにおける個人情報流出事案）
http://www.jp-bank.japanpost.jp/news/2011/news_id000711.html
不審な売上げ等の形跡はございません。
三井住友VISAカード
ソニー・コンピュータエンタテインメントでの個人情報流出について
https://www.smbc-card.com/mem/cardinfo/cardinfo8090323.jsp
不審な売上げ等の形跡はございません。
>>61
その調子でどんどん挙げてくれ
その調子でどんどん挙げてくれ
>>47
あんなところと比べるなんて皆さんに失礼ですよ
あんなところと比べるなんて皆さんに失礼ですよ
ハッシュはきちんとsalt付けとけば辞書でOKと言うわけにはいかない。
公開鍵暗号は秘密鍵が漏れたら終わり
公開鍵暗号は秘密鍵が漏れたら終わり
それならパス変えなくても大丈夫だよね！
>>60
> もっと端的に言えば、犯人が自分や仲間のPSNアカウントを調べて、
> パスワードとハッシュの組を探り出せばOK.
その自分のパスに対するハッシュ値を探り出すためには種（変換方法）が必要だろ
鶏が先か卵が先かみたいな議論だな
> もっと端的に言えば、犯人が自分や仲間のPSNアカウントを調べて、
> パスワードとハッシュの組を探り出せばOK.
その自分のパスに対するハッシュ値を探り出すためには種（変換方法）が必要だろ
鶏が先か卵が先かみたいな議論だな
パスワードが「aaaaa」の人だけでも何百か何千人いるんじゃないのかｗ
70 ：名無しさん必死だな：2011/05/01(日) 18:07:17.64 ID:j0nTL0fu0
PSNのパスワードは8文字以上の英数字が条件だから
普通なら8文字の小文字英字と数字の簡単な組み合わせが多いだろうな
普通なら8文字の小文字英字と数字の簡単な組み合わせが多いだろうな
71 ：名無しさん必死だな：2011/05/01(日) 18:07:25.05 ID:huM5zhzv0
>>53
ハッシュ化アルゴリズムは「原理的に不可逆」なので、
たとえソースを持って行かれたとしても元には戻せません
(元に戻せたらそれはハッシュではない)
たとえばMD5なんかは既に強衝突耐性が突破されててそのうち弱衝突耐性も突破されるだろうけど、
それでも元には戻せない。
まあ同じハッシュ値になる違うパスワードが求められる可能性はあるし、
MD5みたいにレインボーテーブルが用意されていればほぼ可逆といっていいかもしれないが。
ハッシュ化アルゴリズムは「原理的に不可逆」なので、
たとえソースを持って行かれたとしても元には戻せません
(元に戻せたらそれはハッシュではない)
たとえばMD5なんかは既に強衝突耐性が突破されててそのうち弱衝突耐性も突破されるだろうけど、
それでも元には戻せない。
まあ同じハッシュ値になる違うパスワードが求められる可能性はあるし、
MD5みたいにレインボーテーブルが用意されていればほぼ可逆といっていいかもしれないが。
73 ：名無しさん必死だな：2011/05/01(日) 18:07:52.39 ID:ep2gO2mn0
ソニーは3日間って言ってるんだっけ？
その期間にクラッカーがアカウントを作りまくってたら
よく使われる単語の変換辞書を作れるって事なのか？
その期間にクラッカーがアカウントを作りまくってたら
よく使われる単語の変換辞書を作れるって事なのか？
>>68
他の個人データと紐付けされてないの？
他の個人データと紐付けされてないの？
鯖が落ちるまでにいろいろ試行錯誤されてたりしてｗ
ハッシュは正しい答えを与えたときにそれが正しいか判定するだけのもの。
アルゴリズム漏れても安全
アルゴリズム漏れても安全
>>68
ハッシュ値はDBに登録されてるじゃん
ハッシュ値はDBに登録されてるじゃん
つまりハッシュ化しておけば解読までに相当苦労するってことで、解読は現実的に無理ってことだね
暗号化してないから終了とかチカ君が言ってたけどもっと強力なセキュリティが施されていたんだねｗ
暗号化してないから終了とかチカ君が言ってたけどもっと強力なセキュリティが施されていたんだねｗ
全ハッシュ値を持ってる
→ 自分のIDとハッシュを探しておく
→ 見つけた自分のものと同じハッシュ値を検索
→ 自分と同じパスワードを使ってるユーザがわかる
このくらいは簡単にわかる話ではあるな
→ 自分のIDとハッシュを探しておく
→ 見つけた自分のものと同じハッシュ値を検索
→ 自分と同じパスワードを使ってるユーザがわかる
このくらいは簡単にわかる話ではあるな
>>68
今回は、犯人は既にPSNのアカウント情報DBにアクセスできているので、IDとそれに紐付け
されたハッシュ値はわかると考えてよいかと。
自分のPSNID＋それに紐付けされたハッシュ値と、さらに自分で複数のアカウントを作ったり、
仲間のクラッカーのアカウント情報を教えてもらったり、で、ID、ハッシュ、元のパスワードの組が
複数手に入る状況です。
今回は、犯人は既にPSNのアカウント情報DBにアクセスできているので、IDとそれに紐付け
されたハッシュ値はわかると考えてよいかと。
自分のPSNID＋それに紐付けされたハッシュ値と、さらに自分で複数のアカウントを作ったり、
仲間のクラッカーのアカウント情報を教えてもらったり、で、ID、ハッシュ、元のパスワードの組が
複数手に入る状況です。
>>81
例えば「アルゴリズム漏れたら危険じゃね？」という文をハッシュ化して
「アリ漏らじ？」になったとする。
アルゴリズムは２文字飛びで１文字ずつ取り出していくというものだ。
さて、「アリ漏らじ？」というハッシュから「アルゴリズム漏れたら危険じゃね？」
という文を逆算できるだろうか？
例えば「アルゴリズム漏れたら危険じゃね？」という文をハッシュ化して
「アリ漏らじ？」になったとする。
アルゴリズムは２文字飛びで１文字ずつ取り出していくというものだ。
さて、「アリ漏らじ？」というハッシュから「アルゴリズム漏れたら危険じゃね？」
という文を逆算できるだろうか？
他の個人データを全抜きされてるのに、パスワードのハッシュ化がどうのって意味あるのか。
パスワードはハッシュ化して保存しているので安心してください
※ただしソースはソニー
※ただしソースはソニー
>>89
世界で唯一無二を自負するパスワードつけてる人ならまずばれなくなる
世界で唯一無二を自負するパスワードつけてる人ならまずばれなくなる
salt入れてユーザーIDもハッシュ関数と
一緒にぶち込んでおけば、個別アカごとに
総当りが必要になる。
一緒にぶち込んでおけば、個別アカごとに
総当りが必要になる。
94 ： 忍法帖【Lv=14,xxxPT】 ：2011/05/01(日) 18:14:47.74 ID:9EMahKiS0
実際のハッシュアルゴリズムと今回の侵入範囲などが分からない限り
「安全だよ」「いや衝突させられるよ」の結論もでないだろうしなあ。
絶対安全派の人はがんばって証明してくれよ。安全だと。
俺もPSN会員で不安なんだよw
「安全だよ」「いや衝突させられるよ」の結論もでないだろうしなあ。
絶対安全派の人はがんばって証明してくれよ。安全だと。
俺もPSN会員で不安なんだよw
暗号方式判れば、後はジョン・ザ・リッパーで辞書アタックだな
>>89
パスワードがわかると
・復旧後のPSNでそいつのIDを乗っ取られる
・同じID/パスワードで登録している別のサービスにも侵入できる
後者を防ぐには別のサービスのパスワードを変えるしかない
前者を防ぐためには普通パスワードリセットをするんだが、
ソニーは今のところ何故か「自分で変えろ」とか訳のわからないことを言ってる
パスワードがわかると
・復旧後のPSNでそいつのIDを乗っ取られる
・同じID/パスワードで登録している別のサービスにも侵入できる
後者を防ぐには別のサービスのパスワードを変えるしかない
前者を防ぐためには普通パスワードリセットをするんだが、
ソニーは今のところ何故か「自分で変えろ」とか訳のわからないことを言ってる
>>95
> パスワードである以上、ハッシュとは一対一でなきゃならないから
一対一である必要はない。入力されたパスワードをハッシュ化して比較すれば済むこと。
もちろん原理的には同じハッシュ値の別のパスワードを入力しても
ログインできてしまう事になるが、そんなことはまず現実的に起こらない。
> パスワードである以上、ハッシュとは一対一でなきゃならないから
一対一である必要はない。入力されたパスワードをハッシュ化して比較すれば済むこと。
もちろん原理的には同じハッシュ値の別のパスワードを入力しても
ログインできてしまう事になるが、そんなことはまず現実的に起こらない。
逆に公開鍵暗号でも、実装が糞だと秘密鍵が無くても
セキュリティコードくらいなら一瞬で破られる。
セキュリティコード+乱数なら大丈夫だけど
乱数のつもりが固定値だった前科があるからな。
セキュリティコードくらいなら一瞬で破られる。
セキュリティコード+乱数なら大丈夫だけど
乱数のつもりが固定値だった前科があるからな。
>>89
今回はメアドとセットで抜かれてるので、使いまわしをしてる人はメールアカウントもハックされます。
メールアカウントがハックされれば、その個人がどんなネットワークサービスを使っているか等わかりますし、
金のからみで行けばローンを安易に使う人かどうかがわかる可能性があります。
他のネットワークサービスでもIDとパスを使いまわししていれば（メアドをIDに使うサービスも多いです）
ハックの連鎖が起こるわけですし、ローンを使う人のメアドは名簿業者に高く売れるわけです。
今回はメアドとセットで抜かれてるので、使いまわしをしてる人はメールアカウントもハックされます。
メールアカウントがハックされれば、その個人がどんなネットワークサービスを使っているか等わかりますし、
金のからみで行けばローンを安易に使う人かどうかがわかる可能性があります。
他のネットワークサービスでもIDとパスを使いまわししていれば（メアドをIDに使うサービスも多いです）
ハックの連鎖が起こるわけですし、ローンを使う人のメアドは名簿業者に高く売れるわけです。
>>91
そのとおりで、それがハッシュ化ということ。
>>87は単純極まりないハッシュ化だったので簡単に同じハッシュ値を持つパスワードが作れたが、
通常使われているハッシュ化アルゴリズムは、たった1文字違っただけで全然別の文字列になる
>>95
一対一対応「ではない」
詳細は>>87,91
そのとおりで、それがハッシュ化ということ。
>>87は単純極まりないハッシュ化だったので簡単に同じハッシュ値を持つパスワードが作れたが、
通常使われているハッシュ化アルゴリズムは、たった1文字違っただけで全然別の文字列になる
>>95
一対一対応「ではない」
詳細は>>87,91
106 ：名無しさん必死だな：2011/05/01(日) 18:20:15.99 ID:ITUB/zBY0
なんか昔のUNIXの /etc/passwdファイルを思い出すな
メアドと住所の対応表ができるってのも、今回の流出の恐ろしいところです。
つまりソニーの採用してるアルゴリズムがどれくらい複雑か分からないと安全度は分からないと
ん？ つまりパスワード変更しなくても問題ないってことなのか？
>>86
一般的なハッシュ・アルゴリズムが広く公開されている事と、
個々のシステムにおけるハッシュ作成の為のアルゴリズムが
隠されてる事は全く別の話だよ。
「パスワードの末尾に"HOGE"を付加して SHA256 でハッシュ化する」
場合、SHA256は公開されてるけど、"HOGE" を付けるってルールは未公開。
このルールまで漏れてしまうと、ハッシュ値同士比較が出来るようになる。
今回がどうなのかは不明。
一般的なハッシュ・アルゴリズムが広く公開されている事と、
個々のシステムにおけるハッシュ作成の為のアルゴリズムが
隠されてる事は全く別の話だよ。
「パスワードの末尾に"HOGE"を付加して SHA256 でハッシュ化する」
場合、SHA256は公開されてるけど、"HOGE" を付けるってルールは未公開。
このルールまで漏れてしまうと、ハッシュ値同士比較が出来るようになる。
今回がどうなのかは不明。
そもそも楕円曲線暗号に実装ミスやらかすような企業のアルゴリズムを本当に安全と思うかと言われたらねぇ･･･。
>>109
そゆこと
ただし辞書にのっている文字等単純なパスワードを指定していた場合は
アルゴリズムに関係なく抜かれたと考えていい。
しかし「平文で保存してます」→「ハッシュ化してます」とはなんだったのか
そゆこと
ただし辞書にのっている文字等単純なパスワードを指定していた場合は
アルゴリズムに関係なく抜かれたと考えていい。
しかし「平文で保存してます」→「ハッシュ化してます」とはなんだったのか
>>87
「アリ漏らじ？」というハッシュから「アルゴリズム漏れたら危険じゃね？」を逆算できなくても
変換アルゴリズムがってるなら数多くの候補の中から「アリ漏らじ？」というハッシュになるのは
「アルゴリズム漏れたら危険じゃね？」ってのは総当りすればわかるだろ
「アリ漏らじ？」というハッシュから「アルゴリズム漏れたら危険じゃね？」を逆算できなくても
変換アルゴリズムがってるなら数多くの候補の中から「アリ漏らじ？」というハッシュになるのは
「アルゴリズム漏れたら危険じゃね？」ってのは総当りすればわかるだろ
ハッシュの理論的な強固さと
SONYの使ってたハッシュが安全なものかどうかには全然関係ないよ。
脆弱性のあるハッシュを使ってた可能性
ハッシュと元値を二重に保管してた可能性
正直、ここの話はまったく安全性の担保とはならない。
SONYの使ってたハッシュが安全なものかどうかには全然関係ないよ。
脆弱性のあるハッシュを使ってた可能性
ハッシュと元値を二重に保管してた可能性
正直、ここの話はまったく安全性の担保とはならない。
121 ：カブー ◆TW/B4h2Zeg ：2011/05/01(日) 18:34:56.17 ID:Mf8nk3fF0
｀ヽ:::::ヽ:!::/
>'"￣ヽ. まぁ、判断に必要な材料は揃ってませんよね。
iﾆ::ﾟдﾟ :;:i できるだけ長くて複雑なパスワードに変えることをおすすめします。
>'"￣ヽ. まぁ、判断に必要な材料は揃ってませんよね。
iﾆ::ﾟдﾟ :;:i できるだけ長くて複雑なパスワードに変えることをおすすめします。
どうも内部での対処が全然広報や上の部分に入ってきてない気がするな。
このへんまでどこぞの電力会社を思い出させる
このへんまでどこぞの電力会社を思い出させる
PSN繋がってなくてもアップデートはできるんだな。
久しぶりにドラゴンエイジしたら1.02がバージョンアップされた。
久しぶりにドラゴンエイジしたら1.02がバージョンアップされた。
まぁ、普通に考えればアップデートでハッシュのアルゴリズム変更するんじゃないの。
ソニーがあくまでも普通の会社ならばだが。
ソニーがあくまでも普通の会社ならばだが。
126 ：名無しさん必死だな：2011/05/01(日) 18:46:44.69 ID:7HjCHtYn0
127 ：名無しさん必死だな：2011/05/01(日) 18:51:50.72 ID:GLhOFnpS0
アプリケーションサーバー乗っ取られてDBサーバーに接続してんだろ？
システム(アプリ)そのものも抜かれてるだろw
そうなるとどの様にハッシュ算出してるか丸わかり
システム(アプリ)そのものも抜かれてるだろw
そうなるとどの様にハッシュ算出してるか丸わかり
確かに、ハッシュ変換後の文字列だけしかなければ、そりゃ復元は至難だわな
ただ、今回はアプリケーションサーバのroot取られた可能性が極めて高いわけで
アルゴリズムもsaltも割れてしまったら、あとはブルートフォースでおｋ
8文字程度なら秒殺じゃないかね
ただ、今回はアプリケーションサーバのroot取られた可能性が極めて高いわけで
アルゴリズムもsaltも割れてしまったら、あとはブルートフォースでおｋ
8文字程度なら秒殺じゃないかね
ここで騒いでも仕方ない
FBIの調査結果を待とう
FBIの調査結果を待とう
ところでさ、クレカ情報へのアクセスは形跡が無いとは言ってるけど
その他の個人情報へのアクセスの形跡があったとは言ってないよね
CIOがログの件で一瞬つまってたし
やっぱり普通に色々と形跡があってログ改竄してるのかな？
その他の個人情報へのアクセスの形跡があったとは言ってないよね
CIOがログの件で一瞬つまってたし
やっぱり普通に色々と形跡があってログ改竄してるのかな？
ハッシュなんて算出式割られたら速攻終了じゃん
俺も思ったわ。そもそも、流出した後に暗号化はしてないけど、ハッシュ化はしてましたって言い訳して良いわけ
よくわからんが、ハッシュだけで何をしてるの？
もし照合に使用してるなら、盗まれたハッシュと同一ハッシュを生成する文字列を用意されたらどうなるの？
もし照合に使用してるなら、盗まれたハッシュと同一ハッシュを生成する文字列を用意されたらどうなるの？
クレカのセキュリティコードなんて高々4桁
どんな高度な暗号だろうが実装が悪けりゃ一瞬で割られる。
どんな高度な暗号だろうが実装が悪けりゃ一瞬で割られる。
そもそも侵入してくるような奴が
クレカにだけは手を出さなかったって方が不自然だと思うんだがどうだろう？
クレカにだけは手を出さなかったって方が不自然だと思うんだがどうだろう？
>>137
多分ハッカーに舐められてるんじゃね
多分ハッカーに舐められてるんじゃね
7700件から同じハッシュを集めて
セキュリティ企業が公開してるよく使われるパスワードランキングみて
そっからいろいろできるんじゃない？
まあまるごともってったらそんな必要ないけど
セキュリティ企業が公開してるよく使われるパスワードランキングみて
そっからいろいろできるんじゃない？
まあまるごともってったらそんな必要ないけど
まあ流石にパスワード十数桁にしてた人なら、かなり時間稼げるし
労力に見合わないってことでパスワードのみスルーして貰えるかも
パスワードは面倒でもそれなりの桁数にしとけってこったな
8桁で済ませてた人はご愁傷様
>>137
なるほど、ソニーによる改竄か、確かにあり得るなｗｗｗ
労力に見合わないってことでパスワードのみスルーして貰えるかも
パスワードは面倒でもそれなりの桁数にしとけってこったな
8桁で済ませてた人はご愁傷様
>>137
なるほど、ソニーによる改竄か、確かにあり得るなｗｗｗ
7700万もあれば英単語とか分かりやすいパスだけ計算すれば
100万単位で割れるな。
100万単位で割れるな。
>>143
それってパスワード伸ばしたのと同じじゃね？
それってパスワード伸ばしたのと同じじゃね？
この数日間で、ハッシュという物に多少詳しくなったわｗ
>>142
どこかの調査だと安易なパスワードの使用率が50%とか。
http://www.itmedia.co.jp/news/articles/1001/22/news025.html
PSNユーザー(会員じゃないらしい)のセキュリティ意識に乞うご期待ですね。
どこかの調査だと安易なパスワードの使用率が50%とか。
http://www.itmedia.co.jp/news/articles/1001/22/news025.html
PSNユーザー(会員じゃないらしい)のセキュリティ意識に乞うご期待ですね。
>>149
だってソニーみたいな名の知れた大企業が不手際で情報流出なんて一般人の皆様は誰も考えませんもの。
だってソニーみたいな名の知れた大企業が不手際で情報流出なんて一般人の皆様は誰も考えませんもの。
音楽CDにルートキット埋め込んでた辺りから
もうこの企業はダメなんだなあと思ってたけど・・・
それでも買っちゃう人たちですしね。
もうこの企業はダメなんだなあと思ってたけど・・・
それでも買っちゃう人たちですしね。
お前らの話は難しすぎて分からん。
とりあえずハッシュドポテトでも食べて落ち着けよ。
とりあえずハッシュドポテトでも食べて落ち着けよ。
>>152訂正
○探して貰って穴埋め作業
○探して貰って穴埋め作業
155 ：名無しさん必死だな：2011/05/01(日) 20:31:37.42 ID:/UeBRd+30
>>153
要するに>>1はハッシュでパスワードが保護されているから安全だと主張してるけど、
ハッシュで安全を確保できるのは、ハッシュ化されたデータだけが流出した場合のみ
今回はハッカーがPSNの会員になれることから、ハッシュ化前のデータも揃えることが出来るため、
（ハッカーが入力したデータがハッシュ化されるので）
安全だと言い切ることは出来ない
確実なのは解析する時間を稼げることくらい
テクスレと同じで、もっともらしいことを主張して、知識のない人間を煙に巻くための工作
こうした工作は今後も続くだろうけど、流出した以上PSNが安全だという事は決してないし、そう思って行動することが大事
要するに>>1はハッシュでパスワードが保護されているから安全だと主張してるけど、
ハッシュで安全を確保できるのは、ハッシュ化されたデータだけが流出した場合のみ
今回はハッカーがPSNの会員になれることから、ハッシュ化前のデータも揃えることが出来るため、
（ハッカーが入力したデータがハッシュ化されるので）
安全だと言い切ることは出来ない
確実なのは解析する時間を稼げることくらい
テクスレと同じで、もっともらしいことを主張して、知識のない人間を煙に巻くための工作
こうした工作は今後も続くだろうけど、流出した以上PSNが安全だという事は決してないし、そう思って行動することが大事
>>134
ハッシュってのは「元の数字は分からないけれど答え合わせだけはできる」マジックナンバー
ハッシュが分かっても、そのハッシュを生成する元の番号は分からない。
何らかの方法（ありがちなパスワード、個人情報）でパスワードを予想したときに、その答え合わせは出来る。
ハッシュってのは「元の数字は分からないけれど答え合わせだけはできる」マジックナンバー
ハッシュが分かっても、そのハッシュを生成する元の番号は分からない。
何らかの方法（ありがちなパスワード、個人情報）でパスワードを予想したときに、その答え合わせは出来る。
155-156
なんとなく分かってきた。お礼にハッシュドポテトをやろう。
なんとなく分かってきた。お礼にハッシュドポテトをやろう。
158 ：名無しさん必死だな：2011/05/01(日) 20:41:29.76 ID:xfnzOmwdO
パスワードリマインダーで、以前に設定したパスを通知してくるのは可逆暗号（or平文）にしかできない
俺は試した事ないんだけど、どうだっけ？
俺は試した事ないんだけど、どうだっけ？
>>158
できると思うよ
ハッシュ化して一致したら以前と同じと判断すりゃいいじゃん
あり得ないくらい低い確率で違うパスいれたのに同じだと言われるけどね
2chのID被りみたいなもん、桁数もっと多いけど
できると思うよ
ハッシュ化して一致したら以前と同じと判断すりゃいいじゃん
あり得ないくらい低い確率で違うパスいれたのに同じだと言われるけどね
2chのID被りみたいなもん、桁数もっと多いけど
>>158
以前に設定したパスワードを送ってくるところは
・暗号化してない
・可逆暗号で暗号化してる
の何れか。
ハッシュ化して保存している場合は
・仮パスワードを勝手に設定する
・ランダムなURLからパスワードを設定させる
という作りになる。
いずれにせよ生パスワードをメールで送付してくるようなところは使わないようにするべき。
以前に設定したパスワードを送ってくるところは
・暗号化してない
・可逆暗号で暗号化してる
の何れか。
ハッシュ化して保存している場合は
・仮パスワードを勝手に設定する
・ランダムなURLからパスワードを設定させる
という作りになる。
いずれにせよ生パスワードをメールで送付してくるようなところは使わないようにするべき。
ハッシュはjpeg(笑)
162 ：名無しさん必死だな：2011/05/01(日) 21:07:48.95 ID:8ODKrXGGO
「ハッシュ…弱くなったなハッシュ。確かに人間は弱い…弱い故に強い者に頼りもする…
じゃが弱いからこそ！強くなろうとする。
人を信じるからこそ！！強くもなれる…」
じゃが弱いからこそ！強くなろうとする。
人を信じるからこそ！！強くもなれる…」
163 ： 忍法帖【Lv=8,xxxP】 ：2011/05/01(日) 21:08:53.77 ID:YJwywGZy0
>>94
天才
天才
無知ムチ豚ですまんが、教えてくれ。クラックした人間もPSNの会員になれるから、ハッシュ生成のアルゴリズムがバレるってこと？それとも、総当たりで一致する文字列を探索するの？
2chの●もパスワード生で送ってくるｗ
ハッシュ関数のアルゴリズムがばれたとしても、アルゴリズム自体に脆弱性が無ければ、
ハッシュ値から元の値を導き出すためには、総当たりしかないよ
ハッシュ値から元の値を導き出すためには、総当たりしかないよ
PS3 はメッセージダイジェストのコリジョンを計算するの得意だったじゃん。
それでやってんだよきっと（棒
それでやってんだよきっと（棒
続けてすまないが、ここで問題になってるのはIDとパスがバレるかも知れないってこと？それらがバレると住所なんかの個人情報もバレちゃうの？
つかハッシュ化って話はどこから出てきたの？
会見
>>171
暗号化してねぇのかよって突っ込まれた後に「ハッシュ化はしてました」と訂正。
暗号化してねぇのかよって突っ込まれた後に「ハッシュ化はしてました」と訂正。
ハッシュ化してたらしてたっていうでしょ最初に
会見で実はハッシュ化してましたってあれでしょ
会見で実はハッシュ化してましたってあれでしょ
>>166
アルゴリズム及びsaltがバレても、不可逆変換である以上はブルートフォース
しかないってとこまでは正しいんだけど、だから安全なわけじゃない
saltまでバレてたら、8桁そこらのパスワードや、もう少し長くても英単語混じりの
パスワードならすぐに割れちゃうよね？
>>169
残念ながらID・名前・生年月日・住所あたりの情報はとっくの昔に流れてる
IDと対になってるパスワードが復元できるか否かがこのスレでの話題
アルゴリズム及びsaltがバレても、不可逆変換である以上はブルートフォース
しかないってとこまでは正しいんだけど、だから安全なわけじゃない
saltまでバレてたら、8桁そこらのパスワードや、もう少し長くても英単語混じりの
パスワードならすぐに割れちゃうよね？
>>169
残念ながらID・名前・生年月日・住所あたりの情報はとっくの昔に流れてる
IDと対になってるパスワードが復元できるか否かがこのスレでの話題
>>153
例え話
お店にある商品を管理する場合、商品に対し商品番号やその他諸々を付けるよね
商品と商品番号は一対一の関係になっており、片方を知っていればもう片方を特定できる
商品や商品番号から価格は特定できるが、価格から商品や商品番号を特定できない
同じ価格の別商品がある可能性があるからね。これを一対多の関係という
（続く
例え話
お店にある商品を管理する場合、商品に対し商品番号やその他諸々を付けるよね
商品と商品番号は一対一の関係になっており、片方を知っていればもう片方を特定できる
商品や商品番号から価格は特定できるが、価格から商品や商品番号を特定できない
同じ価格の別商品がある可能性があるからね。これを一対多の関係という
（続く
どうせMD5とかだよ
180 ：名無しさん必死だな：2011/05/01(日) 21:40:40.62 ID:9SaeKgXlO
人が使うパスワードなんか覚えられる範囲
＝辞書登録できる数万件程度にたいてい収まるから
後はそれをハッシュ関数に次々渡して
答えの文字列が今回流出したリストにあるか調べるだけ
ランダムのIDパスワード総当たりより遙かに敷居が下がったわけで
＝辞書登録できる数万件程度にたいてい収まるから
後はそれをハッシュ関数に次々渡して
答えの文字列が今回流出したリストにあるか調べるだけ
ランダムのIDパスワード総当たりより遙かに敷居が下がったわけで
（続き
さて、今回話題になっているハッシュだが
文字列をとある計算式を使い変換したものがハッシュとなる
簡単な計算をしてみよう
文字列Aの中身が17、計算式が A mod 3 だとしよう
17を3で割った余りだから答えは2になるわけだが
例え計算式と答えを知っていて元を探ろうにも
5 , 8 ,11 , 14 ,17 , 20 , … というふうに答えを絞れない
ハッシュというのは一対多の関係なので
ここからは総当たりでやっていくしかないのだが
問題となっているのは
以前流出した平文（ハッシュ化される前の文字列）と今回流出したハッシュが大量にあるので
それらを元に計算式を導き出すことが時間はかかるだろうが可能だということ
さて、今回話題になっているハッシュだが
文字列をとある計算式を使い変換したものがハッシュとなる
簡単な計算をしてみよう
文字列Aの中身が17、計算式が A mod 3 だとしよう
17を3で割った余りだから答えは2になるわけだが
例え計算式と答えを知っていて元を探ろうにも
5 , 8 ,11 , 14 ,17 , 20 , … というふうに答えを絞れない
ハッシュというのは一対多の関係なので
ここからは総当たりでやっていくしかないのだが
問題となっているのは
以前流出した平文（ハッシュ化される前の文字列）と今回流出したハッシュが大量にあるので
それらを元に計算式を導き出すことが時間はかかるだろうが可能だということ
勉強になるなー
ハッシュの意味を平井が知らなかった可能性
ハッシュ化だけでは全然安心できる状況ではない。
ハッシュと元パスワードの組がおそらく複数組割れており少なくとも辞書攻撃が可能と思われる。
大前提として、SONYはハッシュ化をしていると言っていますが、それを確認する手立てはない。
さらにハッシュ化プログラム自体が漏洩している可能性すらある。
SONYによる公開鍵暗号の実装の例を見れば、ハッシュ化プログラムに脆弱性がある可能性も否定できない。
例として、ハッシュ化したパスワードと別に暗号化前のパスワードをどこかに保存しておくような、タコ実装かもしれない。
不必要に不安がる必要は無いが、辞書攻撃が可能となった以上、PSNのパスワードは
変えておいたほうが無難。使いまわしをしているならそれらも全部。
ハッシュと元パスワードの組がおそらく複数組割れており少なくとも辞書攻撃が可能と思われる。
大前提として、SONYはハッシュ化をしていると言っていますが、それを確認する手立てはない。
さらにハッシュ化プログラム自体が漏洩している可能性すらある。
SONYによる公開鍵暗号の実装の例を見れば、ハッシュ化プログラムに脆弱性がある可能性も否定できない。
例として、ハッシュ化したパスワードと別に暗号化前のパスワードをどこかに保存しておくような、タコ実装かもしれない。
不必要に不安がる必要は無いが、辞書攻撃が可能となった以上、PSNのパスワードは
変えておいたほうが無難。使いまわしをしているならそれらも全部。
ソニーさんのことだから、どうせハッカーにやさしい仕組みになってるんでしょ。
鯖のどこかにユーザー名とパスがそのまま置いてあるかもよ。
鯖のどこかにユーザー名とパスがそのまま置いてあるかもよ。
Eメールアドレスと生年月日と秘密の質問と答えがあれば
パスワードが再設定し放題なんだよ
ソニーはそれを使って変更しろといってる
でもその情報は流出してる
と言う事は・・・・
パスワードが再設定し放題なんだよ
ソニーはそれを使って変更しろといってる
でもその情報は流出してる
と言う事は・・・・
187 ：名無しさん必死だな：2011/05/01(日) 21:54:39.03 ID:9SaeKgXlO
パスワードの突破のしやすさが格段に上がった
なぜならIDとセットで考える必要がないから
辞書に登録した数万・数十万のパスワードに使われそうな英単語を
ハッシュ関数に渡し、出てきた文字列をリストに無いか調べるだけ
リストにあればそこにあるIDと今使ったパスワードが１セット
後は辞書を交換するだけで「簡単な英単語をパスワードに使った」人の分は全て攻略可能
ハッシュを復号化する必要なんかない
なぜならIDとセットで考える必要がないから
辞書に登録した数万・数十万のパスワードに使われそうな英単語を
ハッシュ関数に渡し、出てきた文字列をリストに無いか調べるだけ
リストにあればそこにあるIDと今使ったパスワードが１セット
後は辞書を交換するだけで「簡単な英単語をパスワードに使った」人の分は全て攻略可能
ハッシュを復号化する必要なんかない
>>184
ハッシュ関数がわかってもそんなに問題はない。バレないほうがいいにきまってるけど
あと、いくらなんでもソルトをなんかしら使ってるだろう‥と信じたい
まあ、本当にハッシュ化してたのか確認しようもないけどさ
今回平井が代表で会見してたけど
PSNそのものはソニーの管轄じゃなかったっけ SCEてネ管もやってるの?
ハッシュ関数がわかってもそんなに問題はない。バレないほうがいいにきまってるけど
あと、いくらなんでもソルトをなんかしら使ってるだろう‥と信じたい
まあ、本当にハッシュ化してたのか確認しようもないけどさ
今回平井が代表で会見してたけど
PSNそのものはソニーの管轄じゃなかったっけ SCEてネ管もやってるの?
ハッキングは無理だがこんなマッチングプログラムなら
AccessあったらDB作成込みで10分で作れるわw
後はそこに流し込むデータ２種がいるだけでテーブルも３つで済む
※英単語辞書、流出したリスト、答えのIDパスワード
AccessあったらDB作成込みで10分で作れるわw
後はそこに流し込むデータ２種がいるだけでテーブルも３つで済む
※英単語辞書、流出したリスト、答えのIDパスワード
IDをキーとした暗号だったりしてな
常識的には「パスワード忘れたら仮パスワード再発行」だと思うんだけどな…
http://manuals.playstation.net/document/jp/ps3/current/account/forgotpw.html
スマンｗ記憶違いだったｗ
PCでパスワード確認した記憶があったけど秘密の質問を忘れてたんだろう
前者の情報は漏れてるっぽいから>>190のいう通りだわ
スマンｗ記憶違いだったｗ
PCでパスワード確認した記憶があったけど秘密の質問を忘れてたんだろう
前者の情報は漏れてるっぽいから>>190のいう通りだわ
>>186の間違いドス
>>194
仮パスワードじゃなくて再設定用URLじゃね？仮パス発行にするとそのタイミングでパス変わるからちょっと危険
仮パスワードじゃなくて再設定用URLじゃね？仮パス発行にするとそのタイミングでパス変わるからちょっと危険
>>188
平井はソニーの副社長でもある
平井はソニーの副社長でもある
>>199
本体壊れたてパスワード忘れたら死亡フラグだなｗ
本体壊れたてパスワード忘れたら死亡フラグだなｗ
>>201
サポートのお姉さんにあんな卑猥なタグ名を言葉にする勇気がないわ・・・
サポートのお姉さんにあんな卑猥なタグ名を言葉にする勇気がないわ・・・
203 ：名無しさん必死だな：2011/05/01(日) 22:38:37.86 ID:dOjdMGsu0
PS3売り飛ばしたし、PSPは壊れてるし。
補償も糞だし電話してアカウント消してもらうか。
補償も糞だし電話してアカウント消してもらうか。
ハッシュドポテト
不可逆変換って何？
２度と元に戻せない仕様って事？
ソニーですらデータを戻せないなら、やる意味無くね？
そんなものを保存しておく事に、何の意味が有るの
２度と元に戻せない仕様って事？
ソニーですらデータを戻せないなら、やる意味無くね？
そんなものを保存しておく事に、何の意味が有るの
辞書攻撃とか言ってる馬鹿は何なんだ
パスワードに使える文字は80種類くらいだから8文字でも1600兆通りだぞ
ハッシュがMD5だとしたら全部で200ペタバイトだぞｗｗｗｗｗ
お前らが思ってるハッカーってのはどんなでかいデータセンター持ってるんだよｗｗｗｗｗｗｗ
パスワードに使える文字は80種類くらいだから8文字でも1600兆通りだぞ
ハッシュがMD5だとしたら全部で200ペタバイトだぞｗｗｗｗｗ
お前らが思ってるハッカーってのはどんなでかいデータセンター持ってるんだよｗｗｗｗｗｗｗ
>>165
mjd！？
mjd！？
・・・
>>197
再設定用URL用の仮パスワードね
再設定用URL用の仮パスワードね
時間は稼げるから、その間にパスワード変えとけってことでおｋ？
>>207
お前こそ馬鹿か、全パターンとか言い出したら辞書じゃなくてブルートフォースになるだろうがｗ
お前こそ馬鹿か、全パターンとか言い出したら辞書じゃなくてブルートフォースになるだろうがｗ
8桁の数字、YYYYMMDDから生成されるハッシュ値が多数あったら笑える
>>213
えっ？まさかお前パスワードに普通の英単語とか数字とか入れてるの？バカなの？
情報リテラシーが低すぎて話にならんわ
パスワードは大文字小文字数字記号を混ぜた推測しにくい文字列にしなさいって小学校で習わなかったの？
えっ？まさかお前パスワードに普通の英単語とか数字とか入れてるの？バカなの？
情報リテラシーが低すぎて話にならんわ
パスワードは大文字小文字数字記号を混ぜた推測しにくい文字列にしなさいって小学校で習わなかったの？
>>214
8桁どころか4桁だってザラだよ。
8桁どころか4桁だってザラだよ。
>>215が馬鹿なのはよくわかった
http://itpro.nikkeibp.co.jp/article/USNEWS/20061218/257183/
http://pc.nikkeibp.co.jp/article/news/20101227/1029366/
http://itpro.nikkeibp.co.jp/article/USNEWS/20061218/257183/
http://pc.nikkeibp.co.jp/article/news/20101227/1029366/
>>215
人間の記憶力でランダムな大文字小文字含めた英数字を記憶するってのは困難なんだぜ…
だから入力しやすい組み合わせにしてしまうんだろう
数字だけの羅列である他人の電話番号をスラスラ記憶できるか？
人間の記憶力でランダムな大文字小文字含めた英数字を記憶するってのは困難なんだぜ…
だから入力しやすい組み合わせにしてしまうんだろう
数字だけの羅列である他人の電話番号をスラスラ記憶できるか？
そんな糞みたいなパスワード使ってたらソニー関係なく遅かれ早かれ不正侵入されてるよ
リテラシーの低さをソニーのせいにするのはおかしい
ソニー叩く前にまともなパスワード使うようにしろよ
リテラシーの低さをソニーのせいにするのはおかしい
ソニー叩く前にまともなパスワード使うようにしろよ
221 ：名無しさん必死だな：2011/05/01(日) 23:12:02.49 ID:XK2igaqZ0
ハッシュがMD5だとしたら
なんていってるから、ハッシュに対して辞書攻撃しようとしてる馬鹿だろ
ほっとけよ…
なんていってるから、ハッシュに対して辞書攻撃しようとしてる馬鹿だろ
ほっとけよ…
26VlWCNa0 はどこのスレにも湧いてるな
>>219
ユーザーがどんなに複雑なパスワードを設定していても、ソニーが全部漏らしちゃうよねｗ
ユーザーがどんなに複雑なパスワードを設定していても、ソニーが全部漏らしちゃうよねｗ
>>228
サイトごとに少なくとも大文字小文字数字記号が混ざって単純な単語にならないようにはしてるな
自分なりのルールで覚えやすくしてるから全くのランダムではないけどな
てかこんなの当たり前じゃないの？
パスワード使い回しとか信じられん
サイトごとに少なくとも大文字小文字数字記号が混ざって単純な単語にならないようにはしてるな
自分なりのルールで覚えやすくしてるから全くのランダムではないけどな
てかこんなの当たり前じゃないの？
パスワード使い回しとか信じられん
231 ：名無しさん必死だな：2011/05/01(日) 23:21:57.55 ID:/UeBRd+30
>>227
マジレスして良いなら
お前さんの言う完全ランダムな文字列の全ての組み合わせを
ハッシュに食わせるなんてまず考えないわw
容量以前の問題
それすら判らずにペタバイトとか言うから更に笑われてる
マジレスして良いなら
お前さんの言う完全ランダムな文字列の全ての組み合わせを
ハッシュに食わせるなんてまず考えないわw
容量以前の問題
それすら判らずにペタバイトとか言うから更に笑われてる
パスワード全部変えるのは余裕だよ
1passwordとかでググれ
IDはメアド紐付けが多いのにどうしてんだろう
1passwordとかでググれ
IDはメアド紐付けが多いのにどうしてんだろう
実態としちゃ5割くらいの人間は簡単な単語と数字の組み合わせなんだよ。
専門家相手のサイトならともかく子供も対象になるようなゲーム機、
家電用のネットワークでそこまで責任を負わせるのは無茶
専門家相手のサイトならともかく子供も対象になるようなゲーム機、
家電用のネットワークでそこまで責任を負わせるのは無茶
ちなみにゼロとオー、イチとアイとエル、エスとドル記号、なんて変換小細工も
用意した英単語辞書を書き換えるだけで簡単に作れるんですよ
先頭大文字化／総小文字化とかね
Linuxのコマンド数個レベルの話
用意した英単語辞書を書き換えるだけで簡単に作れるんですよ
先頭大文字化／総小文字化とかね
Linuxのコマンド数個レベルの話
>>229
本来はルール化すらアウトなんですぜ、まぁ実際問題でルール化でもしないと覚えられんけどｗ
というかお前多少会話して思ったが最初の辞書攻撃云々でペタがどうとか完全に釣りだろ保持知識的に発言がおかしすぎるぞｗｗｗ
本来はルール化すらアウトなんですぜ、まぁ実際問題でルール化でもしないと覚えられんけどｗ
というかお前多少会話して思ったが最初の辞書攻撃云々でペタがどうとか完全に釣りだろ保持知識的に発言がおかしすぎるぞｗｗｗ
>>225
ここで愚痴ってるやつは少なくとも
英数大文字小文字特殊文字で8文字以上とか普通にやっとるがな……
ただ、辞書って作者によって精度はかわるし
検索ツールもよくあるパターンの変更(a→@とか)は
適当に確認する物もあるんで
時々引っかかるバンビーもそこそこいるのが問題
ここで愚痴ってるやつは少なくとも
英数大文字小文字特殊文字で8文字以上とか普通にやっとるがな……
ただ、辞書って作者によって精度はかわるし
検索ツールもよくあるパターンの変更(a→@とか)は
適当に確認する物もあるんで
時々引っかかるバンビーもそこそこいるのが問題
簡単に推測できる変換ルールは、辞書作成者も考えていれちゃうからね
複雑すぎると自分で忘れるジレンマｗ
複雑すぎると自分で忘れるジレンマｗ
後はハッシュ生成をどれだけちゃんとしてくれてるかに賭けるしかないよw
そのソースが漏れていたらもう終わり
漏れていなくても仮に昔の標準的な方法で作ってたら
数パターン試したら何を使ってるかわかるはず
なんせサンプルが最大7700万件あるんだからw
そのソースが漏れていたらもう終わり
漏れていなくても仮に昔の標準的な方法で作ってたら
数パターン試したら何を使ってるかわかるはず
なんせサンプルが最大7700万件あるんだからw
leet表記とか基本だしね
root抜かれているのだから
ハッシュ関数自体はsaltも含めて漏れている。
後頼れるのは個々のパスとハッシュ関数自身の強度だけ。
ハッシュ関数自体はsaltも含めて漏れている。
後頼れるのは個々のパスとハッシュ関数自身の強度だけ。
俺の認識すら甘かったのねw
ログ読んで調べて色々と勉強になったわ
ログ読んで調べて色々と勉強になったわ
パスが平文保存だった場合との違いは
全員が同じ危険にさらされるか、弱いパスの
人間が選択的に狙われるかというところ。
全員が同じ危険にさらされるか、弱いパスの
人間が選択的に狙われるかというところ。
ハッシュ化済のパスが漏れてるんでしょ。
リクエスト情報に生でパソコンか、
クラックしたプレステから
ハッシュ化したパス送ればいいだけでは？
リクエスト情報に生でパソコンか、
クラックしたプレステから
ハッシュ化したパス送ればいいだけでは？
ハッシュ関数が何かとか、
それも意味がないんでないの？
それも意味がないんでないの？
サーバが受け取るのは(普通は別の方法で暗号化された)平文
そうじゃないと251の言うようになんの意味も無い。
そうじゃないと251の言うようになんの意味も無い。
>>255
なんのケースの話？
なんのケースの話？
よく騒がれてるルートキーって、それが直接サーバのrootのパスワードって訳じゃないでしょ？ｗ
260 ：名無しさん必死だな：2011/05/02(月) 01:37:50.48 ID:vPBnkhct0
ハッシュの種や計算方法が漏れた場合ローカルで総当りできることを意味してるから
結構安全性落ちるな
漏れてないといいんだけど
結構安全性落ちるな
漏れてないといいんだけど
262 ：名無しさん必死だな：2011/05/02(月) 01:48:59.05 ID:YfU2oSIw0
全くだ！
ハッシュ化は元の値を残さずに認証できる素晴らしい技術だと言うのに！！
パターンさえわかればハッシュ値からパスワードに入れれば良い文字列を割り出すなどCELLにとってはたやすい事だと言うのに！
ハッシュ化は元の値を残さずに認証できる素晴らしい技術だと言うのに！！
パターンさえわかればハッシュ値からパスワードに入れれば良い文字列を割り出すなどCELLにとってはたやすい事だと言うのに！
>>259
でも、PSNサーバ攻撃に関してPS3が利用された場合を想定するとルートキー絡みも想像出来うるが。
過程の話は十分承知だけれど通常の通信を装って仕込む解析するならPS3ハードは適している。
しかも、PS3は認証コード云々抜きで動くと言う状態（キー漏れ）。
直接はないとはいえ間接的にまで行くと関係は無いとは言い切れない部分は大きいと思うが。
でも、PSNサーバ攻撃に関してPS3が利用された場合を想定するとルートキー絡みも想像出来うるが。
過程の話は十分承知だけれど通常の通信を装って仕込む解析するならPS3ハードは適している。
しかも、PS3は認証コード云々抜きで動くと言う状態（キー漏れ）。
直接はないとはいえ間接的にまで行くと関係は無いとは言い切れない部分は大きいと思うが。
>>263
ハッシュ化処理の専用ハードウェア用意して、
・IDとパスワード受け取ってパスワードハッシュ返す
・同一IDによる単位時間の複数回アクセスはエラー
・接続元はなんかこう強力な手段で認証かける
とかすれば、ハッシュ化処理が推測されるまでそれなりに時間稼げる。
248が成立するのはハッシュ化処理の呼び出し制限が緩い場合。
(あるいはスクリプトとかで処理してる場合。さすがにそれはないと思いたい。)
まぁ緩い可能性は否めない。
ハッシュ化処理の専用ハードウェア用意して、
・IDとパスワード受け取ってパスワードハッシュ返す
・同一IDによる単位時間の複数回アクセスはエラー
・接続元はなんかこう強力な手段で認証かける
とかすれば、ハッシュ化処理が推測されるまでそれなりに時間稼げる。
248が成立するのはハッシュ化処理の呼び出し制限が緩い場合。
(あるいはスクリプトとかで処理してる場合。さすがにそれはないと思いたい。)
まぁ緩い可能性は否めない。
ハッシュ作成用アルゴリズムがどれくらいの強度を持ってたかを考えるときに
管理してたのは既存の脆弱性を放置するレベルだったことを考慮すると
構築した人間がどういったレベルかも想像できるしそういうところが構築したとこの強度が信頼できるレベルかっていわれるとなぁｗ
管理してたのは既存の脆弱性を放置するレベルだったことを考慮すると
構築した人間がどういったレベルかも想像できるしそういうところが構築したとこの強度が信頼できるレベルかっていわれるとなぁｗ
・閏年計算を間違えていました(PS3他)
・暗号化用に使う乱数関数の戻り値が固定でした(PS3)
・Webサーバの既知の脆弱性を放置していました(PSN) ←New!
こんな開発陣や管理者にあまり期待をするのは…
・暗号化用に使う乱数関数の戻り値が固定でした(PS3)
・Webサーバの既知の脆弱性を放置していました(PSN) ←New!
こんな開発陣や管理者にあまり期待をするのは…
268 ：名無しさん必死だな：2011/05/02(月) 03:41:45.36 ID:bS4L3dtqO
素人集団かよｗｗ
269 ：名無しさん必死だな：2011/05/02(月) 03:52:22.57 ID:P2BPklN7O
ハッシュドビーフ
270 ：名無しさん必死だな：2011/05/02(月) 03:56:23.16 ID:oiBtaLb/O
じゃあなぜパスワード変えろっていうんだよ
271 ：名無しさん必死だな：2011/05/02(月) 03:58:48.09 ID:LuNYF66D0
IDやパスワードは複数のサービスで同じ物を使ってる人が多いから、
2次被害を防ぐためには変えた方が良い。もちろんPSN以外のやつも。
2次被害を防ぐためには変えた方が良い。もちろんPSN以外のやつも。
平井がサラッとしか説明しなかったんだし、強度には余り期待できなさそうな気がする
強力なハッシュ処理なら絶対、「強力なハッシュ処理をしておりますので安心です」とか言う
「暗号化もしてなかったの？」に対し、
「一応ハッシュしてるから責任ないよね？」ってだけで
強力なハッシュ処理なら絶対、「強力なハッシュ処理をしておりますので安心です」とか言う
「暗号化もしてなかったの？」に対し、
「一応ハッシュしてるから責任ないよね？」ってだけで
素人質問で申し訳ないけど、個人情報が閲覧できる状態だったってことは、そもそも認証すっ飛ばせてない？
>>273
「PSNのPASS」のみなら漏れても大した被害は無い
でも、PASSってのは他のサービスも同じのを使ってる人が多いので、
PSNのPASSが漏れる=他のサービスのPASSも漏れるってなるから困ってる
ソニーが他のサービスのPASSも変えろって言ってるのはそのため
今回の説明では、IDや住所氏名は完全に見られてるけど、
「PASS」だけはハッシュ化されてるから見られてないよ、って話
色々矛盾してるのは仕様だと思う
「PSNのPASS」のみなら漏れても大した被害は無い
でも、PASSってのは他のサービスも同じのを使ってる人が多いので、
PSNのPASSが漏れる=他のサービスのPASSも漏れるってなるから困ってる
ソニーが他のサービスのPASSも変えろって言ってるのはそのため
今回の説明では、IDや住所氏名は完全に見られてるけど、
「PASS」だけはハッシュ化されてるから見られてないよ、って話
色々矛盾してるのは仕様だと思う
275 ：名無しさん必死だな：2011/05/02(月) 04:32:35.77 ID:LuNYF66D0
>>273
脆弱性はSQLインジェクションだったという噂があるんで、そうだと仮定した場合で説明すると・・・
認証の時、本来はIDやパスワードを入力するんだけど、そこにSQLという言語で書かれた
データベースを操作するちょっと細工したコマンドを入力することで、正しいIDとパスが入力された、と
システム側を騙すことができる。もちろん対策されていない場合は、ね。
脆弱性はSQLインジェクションだったという噂があるんで、そうだと仮定した場合で説明すると・・・
認証の時、本来はIDやパスワードを入力するんだけど、そこにSQLという言語で書かれた
データベースを操作するちょっと細工したコマンドを入力することで、正しいIDとパスが入力された、と
システム側を騙すことができる。もちろん対策されていない場合は、ね。
物凄く強固な鍵を持った金庫があって、それを泥棒が開けようとするとする
泥棒が忍びこみ、警察が来るまでの限られた時間では開けることが出来ない
しかし、金庫ごとアジトに持ち帰り、更に金庫の設計図も入手
優秀な仲間も多数いる状況
要するにスタンドアローンのセキュリティはいつか突破される運命ということ
そしてPSNにあった個人情報はハッカーの手元にコピーされている
泥棒が忍びこみ、警察が来るまでの限られた時間では開けることが出来ない
しかし、金庫ごとアジトに持ち帰り、更に金庫の設計図も入手
優秀な仲間も多数いる状況
要するにスタンドアローンのセキュリティはいつか突破される運命ということ
そしてPSNにあった個人情報はハッカーの手元にコピーされている
ハック状態の内に5000回位pass000000000000で変換特定できる気もするがな
ＰＳ３ルートキー流出まとめ
Q、ルートキーが何で、どうまずいのか。
A、ルートキーで許可されてないプログラムを許可されたプログラムとして認識させられる
Q、なんでこうなったのか。
A、OtherOS削除したからこうなった
Q、ソニーはこれからどう対処していくのか。
A、PS4出すか撤退ぐらいしかないんじゃないかな？
Q、ユーザーはどうすべきか。
A、,個人情報とかクレカ情報消してネットから隔離
Q、ルートキーってBCASやBDのキーみたいに複数世代のキーがあるんじゃないの？
なので、今後発売するゲームは新キーを使えば不正使用は防げるよね？
A、PS3のルートキーはアホなことにハードウェアに実装されてるので変更不可能
結論：手遅れ
この不正アクセスがいつ頃あったか発表されてたっけ？
よくわかんねー横文字で
その特徴が一方通行の変換だってチラ見して
すげえ！完璧だとでも思ったんだろ
実際適当なパス設定してPSNにサブアカ登録してた奴が多ければ多いほど
抜かれた件数が多ければ多いほど解析もし易い
セキュリティーもロクに組めないのにアカウント増やし放題にしたの完全に裏目に出てんな
これソニーの責任重くなるねって発表だよ
ゴキちゃん、ご愁傷様。
その特徴が一方通行の変換だってチラ見して
すげえ！完璧だとでも思ったんだろ
実際適当なパス設定してPSNにサブアカ登録してた奴が多ければ多いほど
抜かれた件数が多ければ多いほど解析もし易い
セキュリティーもロクに組めないのにアカウント増やし放題にしたの完全に裏目に出てんな
これソニーの責任重くなるねって発表だよ
ゴキちゃん、ご愁傷様。
282 ：名無しさん必死だな：2011/05/02(月) 07:32:07.06 ID:/EoEmuCy0
>>27
署名とハッシュを混同してるぞ。
署名とハッシュを混同してるぞ。
パスワードを各自で変えてってことは、
ハッシュ関数もこのまま使い回す気なのかな
ハッシュ関数もこのまま使い回す気なのかな
パスワードハッシュの出現率トップ10のパスワードってpassword0とかだろうから
ハッシュ関数変えても元のパスワードが簡単にばれちゃってて意味ないんじゃね
ハッシュ関数変えても元のパスワードが簡単にばれちゃってて意味ないんじゃね
完全遮断してるのは繋げたらやっぱ玄関をハッカー様がドヤ顔で堂々と入れるって事なんだろうね
裏口や合い鍵を用意されてると考えるのが普通だしね
一度入れた店には何度でも入ってくる
これが現実の泥棒とクラッカーの違い
一度入れた店には何度でも入ってくる
これが現実の泥棒とクラッカーの違い
290 ：名無しさん必死だな：2011/05/02(月) 08:56:05.85 ID:2todsQs10
力強く言い切ってるやつはゲハの名無しをやめてアカウント付きのところで啓蒙しろよｗ
MD5なら笑うしかない
292 ：名無しさん必死だな：2011/05/02(月) 09:01:46.97 ID:YfU2oSIw0
いや、ただのDBかなんかの機能で実現してるレベルでしょ
SHAかMD5でしょ
SHAかMD5でしょ
「使用しているライブラリにMD5しかなかったんで･･･」
ってオチだったらどうしよう
ってオチだったらどうしよう
294 ：名無しさん必死だな：2011/05/02(月) 09:05:52.22 ID:YfU2oSIw0
あいつらなら、「他の方式は文字列が長くなる傾向があったので」とかで方式選んでそう
>>294
通信費ケチるためかw
通信費ケチるためかw
296 ：名無しさん必死だな：2011/05/02(月) 09:15:52.79 ID:YfU2oSIw0
>>295
あとDBのパフォーマンス(笑)とかでw
あとDBのパフォーマンス(笑)とかでw
>>295
通信に影響はねぇよw
通信に影響はねぇよw
答え合わせの答えのリストが流出したわけだから
機械的に生成したパスワードを虱潰しにチェックしてヒットすればいい
もし既存のアルゴリズムでヒットしてしまったらそれこそすべてが終わる
ハッシュから戻せないあら安全というわけじゃないわな
機械的に生成したパスワードを虱潰しにチェックしてヒットすればいい
もし既存のアルゴリズムでヒットしてしまったらそれこそすべてが終わる
ハッシュから戻せないあら安全というわけじゃないわな
簡単なパスワードを使った奴の自己責任ではあるんだが
セキュリティに詳しくない奴は一定数いるわけで
そういう奴に相談されたら、ソニーは止めとけ、と言うようになる
セキュリティに詳しくない奴は一定数いるわけで
そういう奴に相談されたら、ソニーは止めとけ、と言うようになる
303 ：名無しさん必死だな：2011/05/02(月) 11:04:38.05 ID:zGIm99Ao0
よかったなｗ Cellパワーを発揮できる場所があって
304 ：名無しさん必死だな：2011/05/02(月) 11:10:55.24 ID:BhtlqFQnO
確かに、cell使えば簡単に解析できるな
このためにcellを開発してたのか、まさに自爆だなw
このためにcellを開発してたのか、まさに自爆だなw
よくわかんないからハッシュとハッシュドビーフの違いをガンダムか銀英伝に喩えて教えてれよ。
salt の位置付けがわからんのだが、こういう認識でおけ？
ハッシュ関数 F(x)
生パス A
salt S
クライアント→鯖の送信 F(A)
鯖の認証確認 F(F(A)+S) == 保存値 かどうか？
ハッシュ関数 F(x)
生パス A
salt S
クライアント→鯖の送信 F(A)
鯖の認証確認 F(F(A)+S) == 保存値 かどうか？
saltは鯖ごとに固有だから
同じパスでも鯖が違えば違うハッシュ値になる。
saltが無いと全鯖共通のテーブルでアタックされる。
同じパスでも鯖が違えば違うハッシュ値になる。
saltが無いと全鯖共通のテーブルでアタックされる。
>>307
クライアント→サーバ間はSSLで可逆暗号じゃね？
クライアント側でハッシュ化させるならクライアントにsaltとかハッシュ関数が必要になる
クライアント→サーバ間：SSL(A)
サーバ内：A
認証時：F(A+Sx)==テーブル値
クライアント→サーバ間はSSLで可逆暗号じゃね？
クライアント側でハッシュ化させるならクライアントにsaltとかハッシュ関数が必要になる
クライアント→サーバ間：SSL(A)
サーバ内：A
認証時：F(A+Sx)==テーブル値
ああ クライアント→鯖間通信をセキュアに送信するのと
パスワード保存をセキュアにするのが ごっちゃになってた
認証機構は F(A+S) == 保存値 で
鯖蔵間で渡るパスは、（生パス通すかどうかも含めて）別途に考える。 多分SSLだろう と。
パスワード保存をセキュアにするのが ごっちゃになってた
認証機構は F(A+S) == 保存値 で
鯖蔵間で渡るパスは、（生パス通すかどうかも含めて）別途に考える。 多分SSLだろう と。
補足@一般論
で、鯖機毎に S をユニークにしとけば、
1) ハッシュ関数 F(x) のアルゴリズムがばれる
2) その鯖機で使用した salt S がばれる
の２段階を突破しないと
・偽装進入（F(A+S) が成立する A の生成）は困難になるであろう
・被害範囲を 全鯖共通から特定の鯖機内DB に抑えられることが期待できるだろう
ということか。
で、鯖機毎に S をユニークにしとけば、
1) ハッシュ関数 F(x) のアルゴリズムがばれる
2) その鯖機で使用した salt S がばれる
の２段階を突破しないと
・偽装進入（F(A+S) が成立する A の生成）は困難になるであろう
・被害範囲を 全鯖共通から特定の鯖機内DB に抑えられることが期待できるだろう
ということか。
204 名前：名無しさん＠十一周年[sage] 投稿日：2011/05/02(月) 10:46:42.72 ID:33MADc1h0
はちまがパスワードはハッシュ化してるから大丈夫って言ってたよ。
ここでやたら不安煽ってるのは地震の時にも出てきたような
扇動と言う形で自分が誰かに影響を与えられる事に快感を覚える人格破綻者でしょ。
結局ハッシュ値ごとぶんどられたら総当たりでわかるんじゃないかと思ったが、
その辺どうなの？
その辺どうなの？
>>314
このスレ読み直しなされ
このスレ読み直しなされ
そういやハッシュ化はパスワードだけ？
それとも住所やなんかの個人情報すべて？
それとも住所やなんかの個人情報すべて？
>>314
わかるよｗ
ただ、この件で一番面白いのは
暗号化されていない→暗号化されていないけどハッシュ化されていたと
見解が変わっている事。
ハッシュ化されていたのなら、（実際はそれは「暗号化」じゃなくて「符号化」なんだけど）
「暗号化されていない」とは発表しないはず。 あわててハッシュ化と云う言葉を付け足して
ごまかしたとしか思えない。
わかるよｗ
ただ、この件で一番面白いのは
暗号化されていない→暗号化されていないけどハッシュ化されていたと
見解が変わっている事。
ハッシュ化されていたのなら、（実際はそれは「暗号化」じゃなくて「符号化」なんだけど）
「暗号化されていない」とは発表しないはず。 あわててハッシュ化と云う言葉を付け足して
ごまかしたとしか思えない。
総当たりすりゃできる
>>316
パスワードのみ（公式見解）
パスワードのみ（公式見解）
総当たり(いわゆるブルートフォースアタック)は
時間かかりすぎるから普通やらんけどな。
時間かかりすぎるから普通やらんけどな。
単純なパスワードから狩っていって
メンドイのはポイでしょ。それでも結構な数の情報が売却される
メンドイのはポイでしょ。それでも結構な数の情報が売却される
salt漏れしてたらそれこそ辞書攻撃で何%かはすぐにわかっちゃうんじゃない？
「よく使われる単語」のブルートフォースアタックってのもあるしね
本来なら本当に脈絡の無い文字列をパスワードにしたほうがいいけど
そうすると人間が覚えきれないから
単語や単語の組み合わせをパスワードにしているケースが多い
本来なら本当に脈絡の無い文字列をパスワードにしたほうがいいけど
そうすると人間が覚えきれないから
単語や単語の組み合わせをパスワードにしているケースが多い
メアドとパスワードがわかっていれば、カード番号を無理に知る必要もないしな
>>324
早期の障害って 捨てアカ生成でブルートフォースアタックしてたりして…
早期の障害って 捨てアカ生成でブルートフォースアタックしてたりして…
1.ステ垢のHash&パスでSを算出
H=f(A+S)だけどHとAがわかっていれば、Sは総当たりで求められる
2.出現頻度の高いハッシュに対して辞書攻撃で単純なPassを解読
頻度が高いハッシュは単純な用語の組み合わせの可能性が高い
Aは辞書の組み合わせだから力業より組み合わせ数はかなり低い
こんなとこ？
H=f(A+S)だけどHとAがわかっていれば、Sは総当たりで求められる
2.出現頻度の高いハッシュに対して辞書攻撃で単純なPassを解読
頻度が高いハッシュは単純な用語の組み合わせの可能性が高い
Aは辞書の組み合わせだから力業より組み合わせ数はかなり低い
こんなとこ？
saltが分かっちまえば、
使用できる文字の種類パスワードの文字数
を総当たりで求めてリスト作って、
ハッシュ化されたパスと一致するものを探させりゃいいのかな
使用できる文字の種類パスワードの文字数
を総当たりで求めてリスト作って、
ハッシュ化されたパスと一致するものを探させりゃいいのかな
そもそもソルトってUNIXみたいにユーザ固有じゃないのかな？
>>329
UNIXみたいに、っていうのはUNIXのユーザー管理みたいにってこと？
UNIXみたいに、っていうのはUNIXのユーザー管理みたいにってこと？
>>330
そそ、もっと具体的に言うとｐａｓｓｗｄファイルに記録されるハッシュ化されたパスワードのこと
そそ、もっと具体的に言うとｐａｓｓｗｄファイルに記録されるハッシュ化されたパスワードのこと
>>331
UNIXの管理の仕方がわからんのだけど user 毎に salt もユニークだとすると
user ⇔ ハッシュ値のマップ (== passwd ファイル)
user ⇔ salt のマップ に対応するファイルが存在する ってこと？
UNIXの管理の仕方がわからんのだけど user 毎に salt もユニークだとすると
user ⇔ ハッシュ値のマップ (== passwd ファイル)
user ⇔ salt のマップ に対応するファイルが存在する ってこと？
変換するアルゴリズムが分かれば
元に戻すプログラムを作れば可能ってこと？
それすらも無理なのか？
元に戻すプログラムを作れば可能ってこと？
それすらも無理なのか？
アルゴリズムは多分ばれてる
あとはハッシュキーの強度次第
あとはハッシュキーの強度次第
ハッシュ化の時に情報の欠落さしてるから元には戻せない、というか元に戻せないから価値があるとも言う
ただパスAからハッシュA'にするアルゴリズムがわかってるならハッシュB'になるようなパスBを数多くの候補から探し出すことは可能
で、そうなるとアルゴリズムがどこまで解明されてるかってのがキモなんだけど
管理とか他のことを考慮するならお粗末なレベルの実装だろうしそこら辺は全部解明済みと考えるべきなんだろうね
ただパスAからハッシュA'にするアルゴリズムがわかってるならハッシュB'になるようなパスBを数多くの候補から探し出すことは可能
で、そうなるとアルゴリズムがどこまで解明されてるかってのがキモなんだけど
管理とか他のことを考慮するならお粗末なレベルの実装だろうしそこら辺は全部解明済みと考えるべきなんだろうね
>>331
昔FreeBSDを使ってた時に
「DESはあぶないからMD5にしろよ」
みたいなメッセージが出て何事みたいなことを思った記憶があるんだが、まさかこういう所でその話が役立つとは思わなかったよｗ
昔FreeBSDを使ってた時に
「DESはあぶないからMD5にしろよ」
みたいなメッセージが出て何事みたいなことを思った記憶があるんだが、まさかこういう所でその話が役立つとは思わなかったよｗ
>>332
ｐａｓｓｗｄのハッシュ化したパスワードの文字列にソルトもくっついてます
>>333
>>181のレスのmod計算のとこがわかりやすいです
そもそも暗号やらハッシュはアルゴリズムがバレても大丈夫なように設計されてます。もちろん正しくつかわれていればですが。
ｐａｓｓｗｄのハッシュ化したパスワードの文字列にソルトもくっついてます
>>333
>>181のレスのmod計算のとこがわかりやすいです
そもそも暗号やらハッシュはアルゴリズムがバレても大丈夫なように設計されてます。もちろん正しくつかわれていればですが。
ハッシュってのは2chのIDと同じだよ
リモホとソルト(日付)が同じなら同じになる
情報減ってるから戻せない
たまにID被る
リモホとソルト(日付)が同じなら同じになる
情報減ってるから戻せない
たまにID被る
base64は可逆、もといバイナリを決められたルールで文字列にしただけで、
暗号かもなにもされてないから、同じようなモノだと考えると逆に混乱するかも知れないね
暗号かもなにもされてないから、同じようなモノだと考えると逆に混乱するかも知れないね
341 ：名無しさん必死だな：2011/05/03(火) 02:30:08.72 ID:u7AI2WjVI
335 >>337 >>338
ハッシュ関数は入力に比べて出力が小さい多対一の写像になっているから
一つの出力値を与える入力は複数個存在するってのはその通りなんだけど
暗号学的ハッシュ関数の安全性は
その出力値を与える入力値（複数個のうちの一つでもいい）が逆算できないこと．
しかもアルゴリズムを公開していてもそれが難しいことが要件．
ハッシュ関数は入力に比べて出力が小さい多対一の写像になっているから
一つの出力値を与える入力は複数個存在するってのはその通りなんだけど
暗号学的ハッシュ関数の安全性は
その出力値を与える入力値（複数個のうちの一つでもいい）が逆算できないこと．
しかもアルゴリズムを公開していてもそれが難しいことが要件．
ごめんageちゃった
>>181の例で言うと，ターゲットのハッシュ値1が与えられたときに
1でも4でも7でも10でも，とにかく出力値1を与える入力が
一つでも求められたら，それでハッシュ関数の安全性は破られたことになる
だから入力 x に 出力 x mod 3 を対応させるハッシュ関数は
暗号学的には安全ではないハッシュということになる．
暗号学的なハッシュ関数として設計されたSHA-1やMD5は
逆算ができないように，入力を切り貼りしたりシフトしたり色々やってる
>>181の例で言うと，ターゲットのハッシュ値1が与えられたときに
1でも4でも7でも10でも，とにかく出力値1を与える入力が
一つでも求められたら，それでハッシュ関数の安全性は破られたことになる
だから入力 x に 出力 x mod 3 を対応させるハッシュ関数は
暗号学的には安全ではないハッシュということになる．
暗号学的なハッシュ関数として設計されたSHA-1やMD5は
逆算ができないように，入力を切り貼りしたりシフトしたり色々やってる
>>181
＞問題となっているのは
＞以前流出した平文（ハッシュ化される前の文字列）と今回流出したハッシュが大量にあるので
＞それらを元に計算式を導き出すことが時間はかかるだろうが可能だということ
そもそも，暗号学的ハッシュ関数の安全性は
アルゴリズムが全て公開されているという前提で議論される．これは暗号もそう．
その前提のもとで，「ターゲット出力値が与えられたときに
その出力を与える入力値を求められるか」を問題にする．
また，手がかりとして「他の入力- 出力値ペア」はいくらでも入手できるものとする．
（アルゴリズムは公開＝＞ハッシュ関数を攻撃する不正者もそれを実行できるはず）
＞問題となっているのは
＞以前流出した平文（ハッシュ化される前の文字列）と今回流出したハッシュが大量にあるので
＞それらを元に計算式を導き出すことが時間はかかるだろうが可能だということ
そもそも，暗号学的ハッシュ関数の安全性は
アルゴリズムが全て公開されているという前提で議論される．これは暗号もそう．
その前提のもとで，「ターゲット出力値が与えられたときに
その出力を与える入力値を求められるか」を問題にする．
また，手がかりとして「他の入力- 出力値ペア」はいくらでも入手できるものとする．
（アルゴリズムは公開＝＞ハッシュ関数を攻撃する不正者もそれを実行できるはず）
344 ：名無しさん必死だな：2011/05/03(火) 02:55:35.53 ID:++iaviil0
>>343
暗号化は鍵によってその安全性を保つけど、ハッシュ化も公開されたアルゴリズムとそのシステム独自の公開されてない種の部分で特異な計算結果を出すんじゃ？
公開されてない部分が暴かれれば丸裸なのはどちらも変わらんでしょ
暗号化は鍵によってその安全性を保つけど、ハッシュ化も公開されたアルゴリズムとそのシステム独自の公開されてない種の部分で特異な計算結果を出すんじゃ？
公開されてない部分が暴かれれば丸裸なのはどちらも変わらんでしょ
>>343続き
>>181の「入力 x に対して x を 3 で割った余り」を返す写像は
文字列処理や信号処理のプログラミングでは
よく使われるハッシュ関数です．
でも，アルゴリズム（3で割る）を公開した時点で
出力値から，それを与える入力値の一つが求められるから
「暗号学的な」ハッシュ関数ではない，ということになります．
>>181の「入力 x に対して x を 3 で割った余り」を返す写像は
文字列処理や信号処理のプログラミングでは
よく使われるハッシュ関数です．
でも，アルゴリズム（3で割る）を公開した時点で
出力値から，それを与える入力値の一つが求められるから
「暗号学的な」ハッシュ関数ではない，ということになります．
346 ：名無しさん必死だな：2011/05/03(火) 02:57:16.91 ID:++iaviil0
正確にはパスワードそのものはわからなくても、認証が通る文字列を求めることができる
ハッシュ化の場合は保存情報全てが漏れても
ブルートフォースでアタックしなければ平文は分からない。
暗号化はどこかに保存してある鍵が漏れたら全てが終わる。
ブルートフォースでアタックしなければ平文は分からない。
暗号化はどこかに保存してある鍵が漏れたら全てが終わる。
>>347
つレインボーテーブル
つレインボーテーブル
349 ：名無しさん必死だな：2011/05/03(火) 03:02:03.22 ID:++iaviil0
>>347
それに十分なサンプルが流出したと思えば、この状態は危険で、安易なパスワードによる運用が殆どないとすればもしかしたら安全と思う人もいるかもね
ところで、認証時に元の平文である必要はあるの？
ハッシュが同一の文字列であれば良いんじゃないの？
それに十分なサンプルが流出したと思えば、この状態は危険で、安易なパスワードによる運用が殆どないとすればもしかしたら安全と思う人もいるかもね
ところで、認証時に元の平文である必要はあるの？
ハッシュが同一の文字列であれば良いんじゃないの？
用語のさっぱりわからん俺には何かRPGの攻略法を話してるようにみえる
まったく詳しくないんだが
不可逆変換なんてそもそも実現できるのか？
いいとこ現実的ではないってレベルなんじゃねーの？
不可逆変換なんてそもそも実現できるのか？
いいとこ現実的ではないってレベルなんじゃねーの？
>>350
実際にwindowsパスワードとか突破されてるんですが
実際にwindowsパスワードとか突破されてるんですが
356 ：名無しさん必死だな：2011/05/03(火) 03:09:55.90 ID:++iaviil0
>>352
ハッシュ化も結局アルゴリズムとなんかの情報から計算してて、その公開してないなんかの情報が判明すれば何のセキュリティもないよね？
まだ、元の値が一意となる暗号化の方がセキュリティ高いと思うんだが
ただ、暗号化の方がコストが高いから認証DBに直接格納しないだけで
ハッシュ化も結局アルゴリズムとなんかの情報から計算してて、その公開してないなんかの情報が判明すれば何のセキュリティもないよね？
まだ、元の値が一意となる暗号化の方がセキュリティ高いと思うんだが
ただ、暗号化の方がコストが高いから認証DBに直接格納しないだけで
古いWindowsの実装は脆弱だから、単一テーブルで割れる。
あと、辞書を使えば弱いパスに関しては選択的に割れる。
あと、辞書を使えば弱いパスに関しては選択的に割れる。
不可逆変換？
今日が何曜日かはわかるけど
何曜日かわかれば何日かわかるわけではない
不可逆ってこういうのでしょ
暗号化云々の場合、同じのができるだけでないようにとか、ハッシュから元を探しにくいとかいろいろあるけど
今日が何曜日かはわかるけど
何曜日かわかれば何日かわかるわけではない
不可逆ってこういうのでしょ
暗号化云々の場合、同じのができるだけでないようにとか、ハッシュから元を探しにくいとかいろいろあるけど
懐かしいなw
この用途の場合コリジョンを意図的に起こせる脆弱な
ハッシュでもそれ自体はあまり強度に関連しないような。
まあ、コリジョン起こすようなおばかさんなアルゴリズムなら
他も脆弱だろうということもあるが。
ハッシュでもそれ自体はあまり強度に関連しないような。
まあ、コリジョン起こすようなおばかさんなアルゴリズムなら
他も脆弱だろうということもあるが。
>>357
>>347
> ブルートフォースでアタックしなければ平文は分からない
に対して>>348
それに対して
>>350
> そこまで劇的に効率が上がるものではないよ。
と来たから>>350で実例を出したんだけど
結局>>347は認識が古い、またはウソなんでしょ？
>>347
> ブルートフォースでアタックしなければ平文は分からない
に対して>>348
それに対して
>>350
> そこまで劇的に効率が上がるものではないよ。
と来たから>>350で実例を出したんだけど
結局>>347は認識が古い、またはウソなんでしょ？
362 ：名無しさん必死だな：2011/05/03(火) 03:18:00.56 ID:++iaviil0
まあ、不可逆な状態を維持できてようと、ポカやって可逆な所まで持っていかれていようと、この状態が危険なのには変わらないと思うがね
363 ：名無しさん必死だな：2011/05/03(火) 03:22:02.02 ID:u7AI2WjVI
>>344 >>353 >>356
＞暗号化は鍵によってその安全性を保つけど、ハッシュ化も公開されたアルゴリズムと
＞そのシステム独自の公開されてない種の部分で特異な計算結果を出すんじゃ？
暗号学的ハッシュ関数（一方向性ハッシュ関数）それ自体は
暗号やMAC（メッセージ認証子）やデジタル署名とは違い
アルゴリズム実行に秘密のパラメータをとりません．
SHA-1やMD5などは，世界中の研究者が「同じ関数」の一方向性を破ろうと日々頑張っています．
＞暗号化は鍵によってその安全性を保つけど、ハッシュ化も公開されたアルゴリズムと
＞そのシステム独自の公開されてない種の部分で特異な計算結果を出すんじゃ？
暗号学的ハッシュ関数（一方向性ハッシュ関数）それ自体は
暗号やMAC（メッセージ認証子）やデジタル署名とは違い
アルゴリズム実行に秘密のパラメータをとりません．
SHA-1やMD5などは，世界中の研究者が「同じ関数」の一方向性を破ろうと日々頑張っています．
>>351
今のところ，SHA-1もMD5も一方向性は突破されていません．
ただし，単純な一方向性よりもさらに厳しい安全性要件が
MD5の場合は突破されてしまい，SHA-1は突破されるのがもう時間の問題ということなので
これらの関数を使うのはもうやめましょう，という話になっています．
現在SHA-3という新規格の策定が公募形式で進んでいて，こないだ最終５候補が発表されました．
残念ながら日本からの応募はすべて落選してしまいました．
ttp://ehash.iaik.tugraz.at/wiki/The_SHA-3_Zoo
今のところ，SHA-1もMD5も一方向性は突破されていません．
ただし，単純な一方向性よりもさらに厳しい安全性要件が
MD5の場合は突破されてしまい，SHA-1は突破されるのがもう時間の問題ということなので
これらの関数を使うのはもうやめましょう，という話になっています．
現在SHA-3という新規格の策定が公募形式で進んでいて，こないだ最終５候補が発表されました．
残念ながら日本からの応募はすべて落選してしまいました．
ttp://ehash.iaik.tugraz.at/wiki/The_SHA-3_Zoo
復号鍵まで漏れるリスクまで考えた場合
暗号化するにしても、パス部分みたいな元情報の復元が
必要ないところはハッシュもかけたほうがより安全
暗号化するにしても、パス部分みたいな元情報の復元が
必要ないところはハッシュもかけたほうがより安全
367 ：名無しさん必死だな：2011/05/03(火) 03:31:22.77 ID:++iaviil0
ま、再開後は流石にアルゴリズムも安全なものを採用されるだろうし、そこからクラックされるというのはないか
他でやらかすかもしれないけど
ただ、安易なパスワード設定してた人ほど次に安易なの設定すると簡単に標的にされるかもね
他でやらかすかもしれないけど
ただ、安易なパスワード設定してた人ほど次に安易なの設定すると簡単に標的にされるかもね
369 ：復号鍵が漏れない前提において暗号化のほうがなぜ安全か：2011/05/03(火) 03:37:55.73 ID:6pNjv0mI0
一工夫で平文からのブルートフォースアタックを防げるから
暗号化する文をパスワード+長い乱数文字列とすれば
平文空間を幾らでも広げられるからね。
鍵空間にアタックをかけるしかなくなる。
暗号化する文をパスワード+長い乱数文字列とすれば
平文空間を幾らでも広げられるからね。
鍵空間にアタックをかけるしかなくなる。
安易なパスワードとはいうけど、結構な制限はかかってたと思うけどね
http://manuals.playstation.net/document/jp/ps3/current/account/signup.html
それにちょっと考えたら、アプリケーションサーバに侵入されたんだから
侵入から発見までの3日間？にログインした人のIDと生パスワードのセット取れたんじゃないの？
http://manuals.playstation.net/document/jp/ps3/current/account/signup.html
それにちょっと考えたら、アプリケーションサーバに侵入されたんだから
侵入から発見までの3日間？にログインした人のIDと生パスワードのセット取れたんじゃないの？
てかさ
パスワードだけ漏れなくても意味なくね？
ネトゲのアカウント乗っ取りやアイテムの売却や破棄、成り済ましによる詐欺とかは防げるだろうけど、
もっと重要な個人情報やクレカ情報が漏れてるわけで
これだけ取り上げて「流出事件は何の問題もない！」と騒いでるゴキブ李は何なんだ？
パスワードだけ漏れなくても意味なくね？
ネトゲのアカウント乗っ取りやアイテムの売却や破棄、成り済ましによる詐欺とかは防げるだろうけど、
もっと重要な個人情報やクレカ情報が漏れてるわけで
これだけ取り上げて「流出事件は何の問題もない！」と騒いでるゴキブ李は何なんだ？
372 ：名無しさん必死だな：2011/05/03(火) 03:43:02.36 ID:++iaviil0
373 ：名無しさん必死だな：2011/05/03(火) 03:45:21.32 ID:++iaviil0
Appleはクレジットカードの不正使用があってから、パスワードは大文字必須で8桁以上になったなあ
複数の元パスとハッシュの組が攻撃者にわかってるってのは、攻撃者にとってある程度効率化をもたらすよね。
使用しているアルゴリズムが何なのか推測しやすくなるし、ソルト値の挿入がどんな仕組みになっているかも
推測しやすくなる。
また、今回はIDや生年月日など個人情報が全部漏れちゃってるので、統計的手法をつかって辞書攻撃を
効率化することができると思う。
例えば、幼稚な例だけど、日付は365日しかないのに、今回流出したアカウントは7700万もあるので、
アカウントを誕生日順にソートして、同じ誕生日のアカウント内で頻出するハッシュがあればそれは
誕生日＋英単語、とかなってる可能性が高い。
使用しているアルゴリズムが何なのか推測しやすくなるし、ソルト値の挿入がどんな仕組みになっているかも
推測しやすくなる。
また、今回はIDや生年月日など個人情報が全部漏れちゃってるので、統計的手法をつかって辞書攻撃を
効率化することができると思う。
例えば、幼稚な例だけど、日付は365日しかないのに、今回流出したアカウントは7700万もあるので、
アカウントを誕生日順にソートして、同じ誕生日のアカウント内で頻出するハッシュがあればそれは
誕生日＋英単語、とかなってる可能性が高い。
>>375
「秘密の質問＆答え」認証は、それが通ると登録したメールアドレスに
パスワード再設定用の認証URLが飛ぶ仕組みなのが一般的。
それ単体で漏れてもパスワードほどの問題ではない。あくまで相対的だけど。
>>376
件数が多いし、辞書攻撃が効果的だね
パスワードポリシーを見る限り、"password1"ってのも通るようだし
「秘密の質問＆答え」認証は、それが通ると登録したメールアドレスに
パスワード再設定用の認証URLが飛ぶ仕組みなのが一般的。
それ単体で漏れてもパスワードほどの問題ではない。あくまで相対的だけど。
>>376
件数が多いし、辞書攻撃が効果的だね
パスワードポリシーを見る限り、"password1"ってのも通るようだし
>>371
メアドとパスワードが分かれば、Amazonで買い物ができる
メアドとパスワードが分かれば、Amazonで買い物ができる
saltはユーザー毎に変えないと
そしてsaltがDBに入ってて悲しいことになるんですね
それでもめんどくさくなるし頻度も分析できんし
今回はハッシュを保存する鯖さえ分けてなかったので、ソルト値を個別にしてたらさらに悲惨なことになってるでしょう
384 ：名無しさん必死だな：2011/05/03(火) 15:10:52.36 ID:lymenTkC0
>>1
ところでこいつは中途半端な知識では字を書いたパターンだよな
ところでこいつは中途半端な知識では字を書いたパターンだよな
385 ：名無しさん必死だな：2011/05/03(火) 20:26:52.53 ID:++iaviil0
復号出来ようが出来なかろうが、認証突破できる文字列求められたら意味ないな
386 ：名無しさん必死だな：2011/05/03(火) 20:30:29.18 ID:awUSVTaq0
つーかさ
カードなんて１回でも使ったら「漏れてるかもしれん」のだよ？
カードなんて１回でも使ったら「漏れてるかもしれん」のだよ？
387 ：名無しさん必死だな：2011/05/03(火) 20:32:59.31 ID:++iaviil0
その確率が1/1だと話が違うだろww
388 ：名無しさん必死だな：2011/05/03(火) 20:33:36.24 ID:ejyRLtX50
ｗｗｗｗｗｗｗｗｗ
トカレフでロシアンルーレットとか
銃口が熱くなるな!!
銃口が熱くなるな!!
>>389
全部玉入りだけどな、PSN版はw
全部玉入りだけどな、PSN版はw
悪用しようなんて輩が7700万だか1億だか知らんがそんなに大量のものをバカ正直に相手にするとは思えん
パスワードが簡単な美味しそうなカモだけ捕まえたら後はどうでも良いとなるんじゃないかな
パスワードが簡単な美味しそうなカモだけ捕まえたら後はどうでも良いとなるんじゃないかな
>>367
再開するとなると、システム改修やら人材採用やらで相当な金が必要なのに、
今後の商売で何より大事な信用を大量にロストしまくってるからなあ。
金がかかる上に売上が減るのは確定。
廃炉したほうが安上がりなんじゃね？
再開するとなると、システム改修やら人材採用やらで相当な金が必要なのに、
今後の商売で何より大事な信用を大量にロストしまくってるからなあ。
金がかかる上に売上が減るのは確定。
廃炉したほうが安上がりなんじゃね？
393 ：名無しさん必死だな：2011/05/04(水) 00:22:34.02 ID:SB3MsLYaO
現実問題として最近複数のネトゲ会社が今までにない規模の
不正なIDパスワード群によるアクセス未遂を検知して
警告を出してるんだよね
つまり裏のネット社会の住人が試したくなるようなw
IDパスワードがセットの巨大なリストが急に現れたという事
不正なIDパスワード群によるアクセス未遂を検知して
警告を出してるんだよね
つまり裏のネット社会の住人が試したくなるようなw
IDパスワードがセットの巨大なリストが急に現れたという事
>>381 >>383
ソルトは「ユーザ毎に違う値」を「パスワードDBに一緒にいれておく」のが普通ですよ．
また，ソルトは鍵のような「秘密にしておけば安全，漏洩したら危険になる」
という情報ではありません．
ソルトを使う利点はこういう感じです：
（続く）
ソルトは「ユーザ毎に違う値」を「パスワードDBに一緒にいれておく」のが普通ですよ．
また，ソルトは鍵のような「秘密にしておけば安全，漏洩したら危険になる」
という情報ではありません．
ソルトを使う利点はこういう感じです：
（続く）
>>394続き
１．パスワードDBが流出した
２．それを入手した攻撃者が，パスワード候補として "hogehoge" を試したとき
●ソルトを使っていない場合
→ "hogehoge" のハッシュ値を一回計算する
→ あとは全ユーザのパスワードハッシュ値とそれを照合するだけ
●ユーザごとに，異なるソルトを使っている場合
→ ユーザA用に "hogehoge" と「ユーザAのソルト値」からハッシュ値を計算する
→ユーザAのパスワードハッシュ値と照合する
→ユーザB用に，ユーザC用に，．．．いちいちハッシュ値の計算からやり直し
→→→ソルトを使うことで，攻撃者の手間を増やせる！
１．パスワードDBが流出した
２．それを入手した攻撃者が，パスワード候補として "hogehoge" を試したとき
●ソルトを使っていない場合
→ "hogehoge" のハッシュ値を一回計算する
→ あとは全ユーザのパスワードハッシュ値とそれを照合するだけ
●ユーザごとに，異なるソルトを使っている場合
→ ユーザA用に "hogehoge" と「ユーザAのソルト値」からハッシュ値を計算する
→ユーザAのパスワードハッシュ値と照合する
→ユーザB用に，ユーザC用に，．．．いちいちハッシュ値の計算からやり直し
→→→ソルトを使うことで，攻撃者の手間を増やせる！
ソルトが不明ならそもそも総当たりのためのハッシュ値計算が出来なくなるんじゃなかろうか？
そう言うもんでもない？
そう言うもんでもない？
>>396
確かにそうなりますが，それはソルトというより
「サーバが持つ（ユーザごとに異なる）鍵」と呼ぶのが正しいと思います．
パスワードのハッシュ値を，鍵付きハッシュと
サーバ側の秘密鍵で計算するということですね．
（「鍵を安全に保存できるという前提があるなら
そこにパスワードファイルを保存しておけばいいのに」とも思ったり）
（続く）
確かにそうなりますが，それはソルトというより
「サーバが持つ（ユーザごとに異なる）鍵」と呼ぶのが正しいと思います．
パスワードのハッシュ値を，鍵付きハッシュと
サーバ側の秘密鍵で計算するということですね．
（「鍵を安全に保存できるという前提があるなら
そこにパスワードファイルを保存しておけばいいのに」とも思ったり）
（続く）
399 ：名無しさん必死だな：2011/05/05(木) 09:28:20.06 ID:4m+t5IVaI
>>398続き
>>398の「ユーザごとに異なる鍵」は
不正者自身が登録ユーザで，流出したデータの中から
自分のハッシュ値を見つけたときに
「パスワードと自分のハッシュ値から
ハッシュ計算に使われたサーバの秘密鍵を推測する」
という脅威を想定して書いたのですが
鍵付きハッシュ関数という暗号技術がありまして
もしかするとその辺の脅威にまで対処しているかもしれません．
ちょっと調べてないのでいい加減なことを書いているかもしれませんが．
>>398の「ユーザごとに異なる鍵」は
不正者自身が登録ユーザで，流出したデータの中から
自分のハッシュ値を見つけたときに
「パスワードと自分のハッシュ値から
ハッシュ計算に使われたサーバの秘密鍵を推測する」
という脅威を想定して書いたのですが
鍵付きハッシュ関数という暗号技術がありまして
もしかするとその辺の脅威にまで対処しているかもしれません．
ちょっと調べてないのでいい加減なことを書いているかもしれませんが．
400 ：名無しさん必死だな：2011/05/05(木) 09:32:07.02 ID:rQMjnO+k0
で、重要なのはハッシュ化が適正になされていた時の強度ではなく、SCEがまともな運用をやっていて、その強度が保たれていたかどうかと思うんだが
技術内容知ってたらそこを披露したいのはわかるが実情踏まえての見解じゃないと有用な情報とは言い難いな
技術内容知ってたらそこを披露したいのはわかるが実情踏まえての見解じゃないと有用な情報とは言い難いな
なあ、確かXboxLiveの会員数がギネス登録された頃から異常なスピードでPSNの会員数が増え始めたよな?
クラッカーが辞書作ってたんじゃねーの?
クラッカーが辞書作ってたんじゃねーの?
403 ：名無しさん必死だな：2011/05/05(木) 09:57:42.99 ID:rQMjnO+k0
まあ、会見見てればカードの暗号化に対して、パスは平文と言っていたあとで、一応ハッシュ化していました程度の補足だったんだしな。
PSN登録してる身だから漏れてほしくないが
ところで、累計１億のサンプルがあって、もしも種が同一だった場合、もとの値を復元することはできなくても、認証突破される可能性はそれなりにあるわな
または種に規則性がある程度でも駄目かもしれないし
多分DBの機能で簡単に実装できるレベルじゃなければ期待してはならない状態だと思うけど
PSN登録してる身だから漏れてほしくないが
ところで、累計１億のサンプルがあって、もしも種が同一だった場合、もとの値を復元することはできなくても、認証突破される可能性はそれなりにあるわな
または種に規則性がある程度でも駄目かもしれないし
多分DBの機能で簡単に実装できるレベルじゃなければ期待してはならない状態だと思うけど
ルートキーの方もPKIの実装をきちんと行なっていれば対策くらいはとれたかも知れないし
405 ：名無しさん必死だな：2011/05/06(金) 16:24:04.18 ID:GlITYoQg0
ハッシュ化したものを１００％の確率で復元することは不可能。
たまにうまくいくことはあっても。
ただし、復元しなくてもどうせハッシュ値しか保存してないなら、同じ値を与える文字列により認証を突破することが可能。
例え元のパスワードと違っても。
例えば、何かの物体の影を認証に使ってるような物。影から元の物体を常に復元することは不可能だけど、光の方向や影を映す物の形状が分かっていれば同じ影を生成する物体を準備することは可能
つまり>>1は本質が理解できてない
たまにうまくいくことはあっても。
ただし、復元しなくてもどうせハッシュ値しか保存してないなら、同じ値を与える文字列により認証を突破することが可能。
例え元のパスワードと違っても。
例えば、何かの物体の影を認証に使ってるような物。影から元の物体を常に復元することは不可能だけど、光の方向や影を映す物の形状が分かっていれば同じ影を生成する物体を準備することは可能
つまり>>1は本質が理解できてない
てか単純にハッシュが安全ならパスワードの変更をさせる必要がないよね。
>>405
>ただし、復元しなくてもどうせハッシュ値しか保存してないなら、同じ値を与える文字列により認証を突破することが可能。
>例え元のパスワードと違っても。
その確率は天文学的な低確率なんじゃないのか？
２ちゃんのトリップ解析ですら、なまなかな手法じゃ解析できないわけだし
>ただし、復元しなくてもどうせハッシュ値しか保存してないなら、同じ値を与える文字列により認証を突破することが可能。
>例え元のパスワードと違っても。
その確率は天文学的な低確率なんじゃないのか？
２ちゃんのトリップ解析ですら、なまなかな手法じゃ解析できないわけだし
408 ：名無しさん必死だな：2011/05/06(金) 16:53:07.35 ID:p3hyxt130
410 ：名無しさん必死だな：2011/05/06(金) 16:59:23.96 ID:H91CUY1Z0
>>409
なまはんかのうち間違いですらなくて普通にある言葉だったりするぜｗ
ttp://dictionary.goo.ne.jp/leaf/jn2/164905/m0u/%E3%81%AA%E3%81%BE%E3%81%AA/
1.[形動］［文］［ナリ］中途半端なさま。どっちつかず。なまはんか。「―な心得では太刀打ちできない」
2.［副］そうすることがかえって良い結果とならず、まずいという気持ちを表す。なまじっか。
「けれど―お顔を見るなんざ唯思いを増すばかりでね」〈木下尚江・良人の自白〉提
なまはんかのうち間違いですらなくて普通にある言葉だったりするぜｗ
ttp://dictionary.goo.ne.jp/leaf/jn2/164905/m0u/%E3%81%AA%E3%81%BE%E3%81%AA/
1.[形動］［文］［ナリ］中途半端なさま。どっちつかず。なまはんか。「―な心得では太刀打ちできない」
2.［副］そうすることがかえって良い結果とならず、まずいという気持ちを表す。なまじっか。
「けれど―お顔を見るなんざ唯思いを増すばかりでね」〈木下尚江・良人の自白〉提
>>408
>http://www.geocities.jp/trip_chaser/tripdata.html
10連 区別有り 1142年169日23時間10分18秒
>update(06/06/01)
06年の段階でこんなだ。
今のPCスペックでも無理だろ
百倍の性能まで進化しても10文字解析で100年。
千倍の性能でも10年。一万倍の性能で1年。
どんなスーパーコンピューター用意して、電気代とかどれだけの費用かける事になるんだ。
何十年後に、2011年当時入手したパスワード情報が解析できたぜーって情報って役に立つのか？
>http://www.geocities.jp/trip_chaser/tripdata.html
10連 区別有り 1142年169日23時間10分18秒
>update(06/06/01)
06年の段階でこんなだ。
今のPCスペックでも無理だろ
百倍の性能まで進化しても10文字解析で100年。
千倍の性能でも10年。一万倍の性能で1年。
どんなスーパーコンピューター用意して、電気代とかどれだけの費用かける事になるんだ。
何十年後に、2011年当時入手したパスワード情報が解析できたぜーって情報って役に立つのか？
414 ：名無しさん必死だな：2011/05/06(金) 17:58:55.64 ID:nnqWzUXW0
>>407
特定の誰かのアカウントを乗っ取ろうとすると大変。
もしそいつか辞書に載ってる単語をパスワードにしていたとしても、
その単語が見つかるまで順番に攻撃を繰り返す必要がある。
でも、誰でもいいから適当に乗っ取れればいいなら簡単。
辞書の単語を先頭から順番にハッシュ化して、7700万件と片っ端から照合すればいい。
そんだけいれば、ひとりくらい合致しちゃう奴が出てくる。
これを繰り返していけば、割と簡単に凄い数のアカウントが乗っ取れちゃう。
ユーザ全員が難しいパスワードを使ってれば問題ないけど、
7700万人もいたら簡単なパスワード使ってる奴が相当いるはずだしね。
特定の誰かのアカウントを乗っ取ろうとすると大変。
もしそいつか辞書に載ってる単語をパスワードにしていたとしても、
その単語が見つかるまで順番に攻撃を繰り返す必要がある。
でも、誰でもいいから適当に乗っ取れればいいなら簡単。
辞書の単語を先頭から順番にハッシュ化して、7700万件と片っ端から照合すればいい。
そんだけいれば、ひとりくらい合致しちゃう奴が出てくる。
これを繰り返していけば、割と簡単に凄い数のアカウントが乗っ取れちゃう。
ユーザ全員が難しいパスワードを使ってれば問題ないけど、
7700万人もいたら簡単なパスワード使ってる奴が相当いるはずだしね。
パスに58種の文字が使えるから、
最低文字数8文字でも128兆通りのくらいのパスか
それを全部ハッシュ化する作業ってどんくらい時間かかるんだ
最低文字数8文字でも128兆通りのくらいのパスか
それを全部ハッシュ化する作業ってどんくらい時間かかるんだ
416 ：名無しさん必死だな：2011/05/06(金) 19:22:54.67 ID:GlITYoQg0
>>407
そうでもないと思うけど？
少なくとも種が同じIDの強度の弱いパスワードを抽出することであたり付ける程度ならリソース全然不要だし
その上で、去年からハックされているという情報が本当なら今までハッシュ生成アルゴリズムを解析した上で今回流出していたとしたらざるでしかないよ、PSNは
もちろんそうじゃない可能性はあるけど、安全と言い切れる状態では全くないと思うが？
そうでもないと思うけど？
少なくとも種が同じIDの強度の弱いパスワードを抽出することであたり付ける程度ならリソース全然不要だし
その上で、去年からハックされているという情報が本当なら今までハッシュ生成アルゴリズムを解析した上で今回流出していたとしたらざるでしかないよ、PSNは
もちろんそうじゃない可能性はあるけど、安全と言い切れる状態では全くないと思うが？
417 ：名無しさん必死だな：2011/05/06(金) 19:25:13.08 ID:GlITYoQg0
ああ、擁護してる人は単純に文字解析にかかる時間を想定してるわけか
全員をハックしなければならないわけじゃない、脆弱なパスワードを設定してる奴だけを対象にすればものすごく簡単になることくらいは理解出来てるんだろうね、流石に。
全員をハックしなければならないわけじゃない、脆弱なパスワードを設定してる奴だけを対象にすればものすごく簡単になることくらいは理解出来てるんだろうね、流石に。
特定の誰かのアカウントを乗っ取ろうとすると大変
って>>414が言ってくれてるじゃないか
って>>414が言ってくれてるじゃないか
別に擁護する気はサラサラないが簡単なパスであることをどうやって見分けるのかな。分かるもんなの？
ID:AbUvneoa0
ID:5kq20o5K0
だから、できないと言ってる↑みたいな人のこと
ID:5kq20o5K0
だから、できないと言ってる↑みたいな人のこと
>>419
簡単なパスの一覧を作る→ハッシュに変換する→流出したハッシュ一覧と照合する
簡単なパスの一覧を作る→ハッシュに変換する→流出したハッシュ一覧と照合する
422 ：名無しさん必死だな：2011/05/06(金) 19:34:48.32 ID:GlITYoQg0
>>419
サンプルが膨大だから。
各ユーザに対して独自の値を設定すれば秘匿性を高めることは可能。
だけど、独自性が各ユーザごとに確保されるほど計算コストが高くなるから、多数のユーザがログインするシステムでは向かないけど。
例えばWebのSSOで常にボトルネックになるのは常にDBへの認証処理となるから、そこのコストが高いシステムは実装しにくい。
そこまでPSNがセキュアに目を向けて設計してるとは思えない事を前提として書いてるけど。
サンプルが膨大だから。
各ユーザに対して独自の値を設定すれば秘匿性を高めることは可能。
だけど、独自性が各ユーザごとに確保されるほど計算コストが高くなるから、多数のユーザがログインするシステムでは向かないけど。
例えばWebのSSOで常にボトルネックになるのは常にDBへの認証処理となるから、そこのコストが高いシステムは実装しにくい。
そこまでPSNがセキュアに目を向けて設計してるとは思えない事を前提として書いてるけど。
どうしてこう、ハシゴの段を一個ずつバキ折っていくようなスレを立てるんだろう
そんなに丁寧に自滅してかなくても良いのに
そんなに丁寧に自滅してかなくても良いのに
ハッシュの照合ですが、今回は属性情報も全部漏れてるので、>376のようにして、統計的に
脆弱なパスワードを見分けることができます。
比較的高年齢な層だけに絞り、誕生日を含むパスワード候補辞書を作成し、英字は小文字のみで、
とやれば、まぁ結構当たるんじゃないですかね。
そして、CELLやGPGPUなんかの、この手の処理だけ異様に得意なコンピューターが近年登場してきたわけで・・・
脆弱なパスワードを見分けることができます。
比較的高年齢な層だけに絞り、誕生日を含むパスワード候補辞書を作成し、英字は小文字のみで、
とやれば、まぁ結構当たるんじゃないですかね。
そして、CELLやGPGPUなんかの、この手の処理だけ異様に得意なコンピューターが近年登場してきたわけで・・・
425 ：名無しさん必死だな：2011/05/06(金) 19:55:02.94 ID:p3hyxt130
ふと思ったんだが、このケースの場合、
ソニーはハッシュアルゴリズムが漏れてないことを保証してないよな
まさか既存のコードから生成とかしてないよな
独自アルゴリズムでハッシュ化しているとしても
データ盗られてんだからバイナリ盗られてるってのもあり得る話だし
ソニーはハッシュアルゴリズムが漏れてないことを保証してないよな
まさか既存のコードから生成とかしてないよな
独自アルゴリズムでハッシュ化しているとしても
データ盗られてんだからバイナリ盗られてるってのもあり得る話だし
>>425
個人的にはDBにハッシュ機能があったのでそれ使いましたというレベルだと考えてるけど
個人的にはDBにハッシュ機能があったのでそれ使いましたというレベルだと考えてるけど
クレカは大丈夫だぞ
不正使用判定プログラムってのがあって、不正使用の疑いがある場合クレカ会社から電話くるし
不正使用判定プログラムってのがあって、不正使用の疑いがある場合クレカ会社から電話くるし
>>417
一から総当たりするよりは手間が省けるが
ものすごく簡単って程でもないと思うが。
00000000〜99999999までの1億通りのパスのハッシュを出して
それを7700万のデータと照合?
00000000、11111111、22222222、みたいな期待できる候補のハッシュだけ出して照合？
一から総当たりするよりは手間が省けるが
ものすごく簡単って程でもないと思うが。
00000000〜99999999までの1億通りのパスのハッシュを出して
それを7700万のデータと照合?
00000000、11111111、22222222、みたいな期待できる候補のハッシュだけ出して照合？
429 ：名無しさん必死だな：2011/05/06(金) 20:11:08.37 ID:GlITYoQg0
430 ：名無しさん必死だな：2011/05/06(金) 20:12:42.71 ID:GlITYoQg0
まずここが不要。
>00000000〜99999999までの1億通りのパスのハッシュを出して
よく使われるパスワードについて各種アルゴリズム・種で生成されるハッシュ値を求めればいい
>00000000〜99999999までの1億通りのパスのハッシュを出して
よく使われるパスワードについて各種アルゴリズム・種で生成されるハッシュ値を求めればいい
どっちにしろ、PSNはサービス再開時にパスワード変更手続きが必要になるみたいだから
言うほど簡単にパス解析できてるなら
流出してから二週間以上経過してて
同じパスワードを使っているメアドのハックとか
被害報告ニュースがいつ頃出回るか
言うほど簡単にパス解析できてるなら
流出してから二週間以上経過してて
同じパスワードを使っているメアドのハックとか
被害報告ニュースがいつ頃出回るか
>>424
ユーザ一人一人に異なるソルトを割り当てていれば
二人のユーザが全く同一のパスワードを使っていても
ユーザのハッシュ値は違う値になります
そうなると「同じハッシュ値がいくつもあった→何か意味のある文字列をパスに使っている」
という推測は難しくなります
ユーザ一人一人に異なるソルトを割り当てていれば
二人のユーザが全く同一のパスワードを使っていても
ユーザのハッシュ値は違う値になります
そうなると「同じハッシュ値がいくつもあった→何か意味のある文字列をパスに使っている」
という推測は難しくなります
>>432続き
でもソルトで防げるのは>>397みたいな「事前計算の使いまわし」であって
「そんな工夫はしないで，クラウドで全ユーザ並列に辞書の単語をチェックするぜー」
ってやられたら，結局弱いパスワードを使ってる人から
順番にパスが割り出されていくと思います．
でもソルトで防げるのは>>397みたいな「事前計算の使いまわし」であって
「そんな工夫はしないで，クラウドで全ユーザ並列に辞書の単語をチェックするぜー」
ってやられたら，結局弱いパスワードを使ってる人から
順番にパスが割り出されていくと思います．
そもそもやわいパスを使ってるような
他のサービスに使いまわしてそうな人を狙ってる
他のサービスに使いまわしてそうな人を狙ってる
435 ：名無しさん必死だな：2011/05/07(土) 12:27:56.00 ID:x6VwR4Fp0
まぁそれを言い出したら、本当にハッシュ化してたのかってとこから疑わなきゃ無いので・・・
結局家電屋さんが作ったネットワークだしね。
結局家電屋さんが作ったネットワークだしね。
437 ：名無しさん必死だな：2011/05/07(土) 12:40:51.67 ID:x6VwR4Fp0
いや、嘘は言わんでしょ
ただ、クレカ情報と違ってその安全性に言及しなかったわけだから、強度が弱いと考えるのも普通の事だと思うけどね
ただ、クレカ情報と違ってその安全性に言及しなかったわけだから、強度が弱いと考えるのも普通の事だと思うけどね
どんな強度にしろ、
ユーザーが抜け作なPW設定してたら台無しでしょ
英数混じりで八文字以上の最低限の設定があるだけまだまし
ユーザーが抜け作なPW設定してたら台無しでしょ
英数混じりで八文字以上の最低限の設定があるだけまだまし
439 ：名無しさん必死だな：2011/05/08(日) 00:36:54.39 ID:wUK2yzFq0
漏洩しなきゃそんな軒にする必要すらないんだが
440 ：名無しさん必死だな：2011/05/08(日) 01:16:56.06 ID:hO+2SU/uO
お漏らしソニーはオムツしろ
＞“PlayStation Network”サービス一部再開 (近日中)
＞※再開されるサービスの内容につきましては「近日中に再開される “PlayStation Network”のサービス／機能」をご参照ください。
＞・サインインにあたって、パスワードの変更が必要となります。
＞・パスワードの変更手続きを行うことで、“PlayStation Network”サービスの一部をご利用になれます。
ハッシュ解析されても
そのパスワードはもう使えないんだよ
＞※再開されるサービスの内容につきましては「近日中に再開される “PlayStation Network”のサービス／機能」をご参照ください。
＞・サインインにあたって、パスワードの変更が必要となります。
＞・パスワードの変更手続きを行うことで、“PlayStation Network”サービスの一部をご利用になれます。
ハッシュ解析されても
そのパスワードはもう使えないんだよ
442 ：名無しさん必死だな：2011/05/08(日) 04:45:46.04 ID:+ZN1eDTSO
正規ユーザーより先にクラッカー側がアクセスすれば
パスワードが勝手に変更されて
正規ユーザーはログインすらできなくなるんだぞ
パスワードが勝手に変更されて
正規ユーザーはログインすらできなくなるんだぞ
去年のと同じ手順踏むの？
電話で本人確認→口頭で仮パスの前半
メールで仮パスの後半
揃った仮パスでサインインしてから実変更作業へ
電話で本人確認→口頭で仮パスの前半
メールで仮パスの後半
揃った仮パスでサインインしてから実変更作業へ
446 ：名無しさん必死だな：2011/05/08(日) 12:25:51.45 ID:vDHIBhpr0
無理だろｗ
単純なパスワードならハッシュ解析も簡単だって
言ってる割には
PSNに登録してあった
メアドとパスワードの組み合わせで、
ネトゲのアカウントがハックされた被害や
ネットBANK口座から金が消えちゃった被害
なんてニュースが飛び込んできませんが
スーパーハッカー達は
情報を手に入れてから
今までの日数に何もしてないんでしょうか？
言ってる割には
PSNに登録してあった
メアドとパスワードの組み合わせで、
ネトゲのアカウントがハックされた被害や
ネットBANK口座から金が消えちゃった被害
なんてニュースが飛び込んできませんが
スーパーハッカー達は
情報を手に入れてから
今までの日数に何もしてないんでしょうか？
449 ：名無しさん必死だな：2011/05/09(月) 00:14:26.61 ID:z2eW01Zq0
別のサービスで利用された被害なんて、ユーザが把握するのにも日数がかかるのに、SCEが公式に発表するのにタイムラグがあるのくらい理解出来ないんだろうか・・・。
直接ユーザが文句言ってる例なら、ゲハのスレでもあるのに。
直接ユーザが文句言ってる例なら、ゲハのスレでもあるのに。
ユーザー解析しやすいパス使っているかどうかに賭ける博打で
解析に時間取られている間にパスワード変更されたら
無駄な時間を費やしたことになってまうのか
解析に時間取られている間にパスワード変更されたら
無駄な時間を費やしたことになってまうのか
452 ：名無しさん必死だな：2011/05/10(火) 19:14:54.32 ID:mLtk/eqC0
>>451
まあ、暗号化の鍵と一緒ならプライスレスな価値があるけどな、クレカ情報も全て流出してるんだしw
まあ、暗号化の鍵と一緒ならプライスレスな価値があるけどな、クレカ情報も全て流出してるんだしw
解析云々なんて面倒なことしないでも
データをソートして一番頻度の多いハッシュと紐付けされたアカウントに対し
「password」って入力したらログイン出来る気がするｗ
データをソートして一番頻度の多いハッシュと紐付けされたアカウントに対し
「password」って入力したらログイン出来る気がするｗ
>>453
気がするだけで「password」じゃログインはできないだろ
気がするだけで「password」じゃログインはできないだろ
>>453
このｽﾚの頭のほうで議論されてるような
ユーザー毎に salt を変えてる管理だと、同じパスワード文字列であっても
違うハッシュ値を戻すので、ハッシュ値の度数分布による類推は効きにくくなるよ。
ただ、実際どう管理されてたのかは知らない
このｽﾚの頭のほうで議論されてるような
ユーザー毎に salt を変えてる管理だと、同じパスワード文字列であっても
違うハッシュ値を戻すので、ハッシュ値の度数分布による類推は効きにくくなるよ。
ただ、実際どう管理されてたのかは知らない
最初に平文って言っちゃうくらいの管理だと思うよ
ハッシュ化してることが伝わらない組織とか怖い
458 ：名無しさん必死だな：2011/05/11(水) 00:55:07.43 ID:idYUHN1a0
>>453
salt って技術用語を調べるといい
salt って技術用語を調べるといい
ハッシュ値が分かれば総当りで簡単なパスワードを設定してる場合は簡単に分かる。
本来、ハッシュ値事態が漏れては成らない物。
それを漏らしたソニーの罪は大きい。
そもそも、住所やら氏名やらの情報がだだ漏れしてる時点で終わってる。
本来、ハッシュ値事態が漏れては成らない物。
それを漏らしたソニーの罪は大きい。
そもそも、住所やら氏名やらの情報がだだ漏れしてる時点で終わってる。
461 ：名無しさん必死だな：2011/05/11(水) 01:14:09.68 ID:idYUHN1a0
>>459
そのSaltが同一値を用いてたら彼の言ってる内容はごくごく正しいですが
誰がそのSaltがユーザごとに割り振られていると証明できるんでしょうか
ちなみに平井は会見で一応ハッシュ化はしていますとしか言っていません
そのSaltが同一値を用いてたら彼の言ってる内容はごくごく正しいですが
誰がそのSaltがユーザごとに割り振られていると証明できるんでしょうか
ちなみに平井は会見で一応ハッシュ化はしていますとしか言っていません
462 ：名無しさん必死だな：2011/05/11(水) 01:15:10.90 ID:idYUHN1a0
ユーザごとにべつの値を、ね
そう言えば秘密鍵を作成するのに乱数使うべきところを
固定値使ってた会社が有ったな
固定値使ってた会社が有ったな
すり替えてもいいじゃん
被害がないんだから平文でも問題なかったんだろｗ
暗号化もハッシュ化も必要ないね
被害がないんだから平文でも問題なかったんだろｗ
暗号化もハッシュ化も必要ないね
住所電話番号データなんて、年賀状ソフトに埋め込まれてるし、
http://www.nipponsoft.co.jp/products/blarea16/
普通に売られてるし
直接に個人財産に被害があるってものでもない
だが、アカウントのパスワードはなぁ
http://www.nipponsoft.co.jp/products/blarea16/
普通に売られてるし
直接に個人財産に被害があるってものでもない
だが、アカウントのパスワードはなぁ
電話帳に乗ってるのは公開許可した番号だけだぞ。うちは載せてない。
氏名、住所、生年月日が漏れてるからな。
相応の補償を早く用意しないと。
一人当たり、最低でも1万円
相応の補償を早く用意しないと。
一人当たり、最低でも1万円
>>470
何十万人の中に埋もれて流出したんだったら
個人が狙われる可能性は何十万分の一。
つか、話をすりかえてばっかりだな。
流出したハッシュ情報が解析されて
PSN以外のアカウントがハックされたりした被害報告はマダー？
何十万人の中に埋もれて流出したんだったら
個人が狙われる可能性は何十万分の一。
つか、話をすりかえてばっかりだな。
流出したハッシュ情報が解析されて
PSN以外のアカウントがハックされたりした被害報告はマダー？
なんだまた話のすり替えか
話をすり替えんな、と話をすり替えるのが流行ですね
被害報告とかどうでもいい。
漏れた事に対する補償をさっさとしろ。
漏れた事に対する補償をさっさとしろ。
476 ：名無しさん必死だな：2011/05/14(土) 12:48:22.89 ID:XWtX3ZCx0
>>1は運用・設計が適切だった際の安全性をPSNに適用できるとでも思ってるんだろうかw
アホ過ぎるw
アホ過ぎるw
479 ：名無しさん必死だな：2011/05/14(土) 23:05:37.10 ID:XWtX3ZCx0
>>477
いや、そのレスはsaltがバラバラだという保証があるのって話であって、都度割り振りとかじゃないだろう
全ユーザ同一のsaltだけど、ハッシュ化してるとは言えるよって話
そもそも都度割り振りだったらDB側に格納されてるデータとの整合性が取れなくなる
いや、そのレスはsaltがバラバラだという保証があるのって話であって、都度割り振りとかじゃないだろう
全ユーザ同一のsaltだけど、ハッシュ化してるとは言えるよって話
そもそも都度割り振りだったらDB側に格納されてるデータとの整合性が取れなくなる
>>461>>477>>479
ソルトなんて、1970年代から使われてる方法だぞ
初期のUnixで使われていて、作者たちが書いた解説書で知られるようになって
Unixの世界ではもう一般常識といっていい知識
LinuxやFreeBSDのパスワードファイル見てみなよ
ユーザ名やグループ名と一緒に、普通にソルトとパスワードのハッシュ値が載ってるから
整合性って、一体どういう仕組みを想定しているんだ？
ていうか、全ユーザで同じソルトを使っちゃうような設計者は
そもそもソルトを使おうなんて発想自体しないだろ
ソルトの目的からいって
ソルトなんて、1970年代から使われてる方法だぞ
初期のUnixで使われていて、作者たちが書いた解説書で知られるようになって
Unixの世界ではもう一般常識といっていい知識
LinuxやFreeBSDのパスワードファイル見てみなよ
ユーザ名やグループ名と一緒に、普通にソルトとパスワードのハッシュ値が載ってるから
整合性って、一体どういう仕組みを想定しているんだ？
ていうか、全ユーザで同じソルトを使っちゃうような設計者は
そもそもソルトを使おうなんて発想自体しないだろ
ソルトの目的からいって
そういや、96-99年にPerlのCGI掲示板がはやったころ
セキュリティに詳しくない作者が作ったCGIは
管理者パスワードをそのままMD5ハッシュ関数にかけてたよ
だから、全文検索型のサーチエンジン（Altavista）で
"admin"とか"password"みたいな文字列のハッシュ値文字列を検索すると
そういう掲示板のパスワードファイルが引っかかったりした
セキュリティに詳しくない作者が作ったCGIは
管理者パスワードをそのままMD5ハッシュ関数にかけてたよ
だから、全文検索型のサーチエンジン（Altavista）で
"admin"とか"password"みたいな文字列のハッシュ値文字列を検索すると
そういう掲示板のパスワードファイルが引っかかったりした
482 ：名無しさん必死だな：2011/05/15(日) 20:17:13.70 ID:3UgE/QfB0
>>480
クレカ以外の前情報引っこ抜かれてるんだからsaltも引っこ抜かれてるんだろ
だったら認証が通る文字列さがすのも簡単だろ
大体、当のSCEがパスワードの安全性についてなにも言及してない
相応に危険だと会見で発表してるんだが
クレカ以外の前情報引っこ抜かれてるんだからsaltも引っこ抜かれてるんだろ
だったら認証が通る文字列さがすのも簡単だろ
大体、当のSCEがパスワードの安全性についてなにも言及してない
相応に危険だと会見で発表してるんだが
483 ：名無しさん必死だな：2011/05/16(月) 07:46:42.68 ID:v0qG4fSb0
484 ：名無しさん必死だな：2011/05/16(月) 07:50:11.14 ID:6YkGR+ae0
>>51
ハッカー団体がPSNに登録していれば、パスワードとハッシュ後の一覧リスト作成なんか簡単にできると思われるが
ハッカー団体がPSNに登録していれば、パスワードとハッシュ後の一覧リスト作成なんか簡単にできると思われるが
つーか、複数アカウントが容易に取得できるから、
団体じゃなくて個人でもある程度のリストは作成できるな
不正侵入前提で登録していればの話だけど
団体じゃなくて個人でもある程度のリストは作成できるな
不正侵入前提で登録していればの話だけど
488 ：名無しさん必死だな：2011/05/16(月) 08:19:02.53 ID:9sbINi3l0
>>480
そもそもこのレスが的外れなんだよな
個別指定と都度指定を読めてない
さらに言えばこのスレには定期的にハッシュ化の技術的な話であたかも安全だと言う論調に持って行こうとする馬鹿がいるが、ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
そもそもこのレスが的外れなんだよな
個別指定と都度指定を読めてない
さらに言えばこのスレには定期的にハッシュ化の技術的な話であたかも安全だと言う論調に持って行こうとする馬鹿がいるが、ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
489 ：名無しさん必死だな：2011/05/16(月) 10:05:44.96 ID:v0qG4fSb0
490 ：名無しさん必死だな：2011/05/16(月) 10:10:57.32 ID:v0qG4fSb0
>>488
なんか個別とかその都度とか、聞いたことも無いソルトの分類してる人がいるけど
そもそも「ユーザごとに異なる値を割り当てないソルト」なんてないだろ
というツッコミを入れたつもりなんだけど、どっか勘違いしてる？
なんか個別とかその都度とか、聞いたことも無いソルトの分類してる人がいるけど
そもそも「ユーザごとに異なる値を割り当てないソルト」なんてないだろ
というツッコミを入れたつもりなんだけど、どっか勘違いしてる？
491 ：名無しさん必死だな：2011/05/16(月) 10:42:24.64 ID:v0qG4fSbI
>>488
「ハッシュを使ってるから安全」とは全く思わないけど，ここだけ
＞ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
「IDとパスを明示して」の意味がわからないけど（それってパス破ってないか？）
たくさんのユーザのデータを大量に入手すれば
その中には弱いパスワードのハッシュ値がわんさかあって
そういうユーザのパスワードは，辞書攻撃で確実にクラックされるだろうね．
で，別のネットサービスで，そのパスとIDで不正にログインを試みる攻撃が増える．
気付かないだけで，もうそういう不正行為があちこちで始まってるかもしれない．
でもそれは，弱いパスワードは何をしていようが
クラックされやすいから危険ということであって，むしろ
「たとえ流出したハッシュ値の個数が少なかろうが，危険なものは危険」
という方が正しいのでは？
「ハッシュを使ってるから安全」とは全く思わないけど，ここだけ
＞ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
「IDとパスを明示して」の意味がわからないけど（それってパス破ってないか？）
たくさんのユーザのデータを大量に入手すれば
その中には弱いパスワードのハッシュ値がわんさかあって
そういうユーザのパスワードは，辞書攻撃で確実にクラックされるだろうね．
で，別のネットサービスで，そのパスとIDで不正にログインを試みる攻撃が増える．
気付かないだけで，もうそういう不正行為があちこちで始まってるかもしれない．
でもそれは，弱いパスワードは何をしていようが
クラックされやすいから危険ということであって，むしろ
「たとえ流出したハッシュ値の個数が少なかろうが，危険なものは危険」
という方が正しいのでは？
>>491
＞ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
多分不特定多数じゃなくて特定少数って意味でつかってるんじゃね？
何かしらの理由があって指定した誰かのIDとパスを個別に抜いたって状況
＞ハッシュ化はIDとパスを明示して持っていかれたような状況ならともかく、ユーザテーブル全抜きなら意味がない
多分不特定多数じゃなくて特定少数って意味でつかってるんじゃね？
何かしらの理由があって指定した誰かのIDとパスを個別に抜いたって状況
493 ：名無しさん必死だな：2011/05/16(月) 10:50:55.21 ID:qgsXu4as0
494 ：名無しさん必死だな：2011/05/16(月) 10:57:13.36 ID:BoqTgEbe0
ぶっちゃけハッシュアルゴリズムなんてMDかSHAくらいしか使われてないし、
総当たりでパスワード生成＆ハッシュ化したものを、クラウドなんかで分散
照合すれば1億件くらいなら１週間で90％は解読できるだろ。
総当たりでパスワード生成＆ハッシュ化したものを、クラウドなんかで分散
照合すれば1億件くらいなら１週間で90％は解読できるだろ。
495 ：名無しさん必死だな：2011/05/16(月) 10:58:23.98 ID:9sbINi3l0
497 ：名無しさん必死だな：2011/05/16(月) 11:13:20.02 ID:BoqTgEbe0
たとえば、BigTableに漏洩したハッシュ値をキーとして個人情報を入れておく。
あとは数万並列くらいでブルートに平文パスワード生成＆ハッシュ化して、値を
上記のBigTableにぶつけて取り出せた値が解析済み。
よほど特殊なハッシュアルゴリズムでもない限り、Google AppEngineやAmazon AWS、
Windows Azureあたりでチョイチョイっとプログラム組んで回せば数分で解析終わると
思うよ。
恐ろしい時代になったでしょ？
あとは数万並列くらいでブルートに平文パスワード生成＆ハッシュ化して、値を
上記のBigTableにぶつけて取り出せた値が解析済み。
よほど特殊なハッシュアルゴリズムでもない限り、Google AppEngineやAmazon AWS、
Windows Azureあたりでチョイチョイっとプログラム組んで回せば数分で解析終わると
思うよ。
恐ろしい時代になったでしょ？
498 ：名無しさん必死だな：2011/05/16(月) 11:21:39.84 ID:v0qG4fSbI
>>495
うーん
「ソルトが同一だったらどうする？」「ソルトがばらばらという保証はあるのか？」
↓
「横レスで悪いけど，『ソルトはユーザごとに異なる値にする』って
あまりにも当たり前の常識というか，そもそもソルトの定義というか由来みたいなもんだよ」
「『ソルトを使おう』と考えるような人間が『ユーザごとに異なるソルトを使わない』ように
システムの設計・運用をする，という状況が，まったく想像できないよ」
と書いたつもりだったんだけど
そうじゃなかったんなら，こっちの読み違えだから謝るよ．ごめんね
>>497
twitter上で，ハッシュ関数をかける回数を増やす
ストレッチングを勧めている人がいるけど
このクラウド時代に，それで攻撃者との間に差をつけるのは難しいと思う
うーん
「ソルトが同一だったらどうする？」「ソルトがばらばらという保証はあるのか？」
↓
「横レスで悪いけど，『ソルトはユーザごとに異なる値にする』って
あまりにも当たり前の常識というか，そもそもソルトの定義というか由来みたいなもんだよ」
「『ソルトを使おう』と考えるような人間が『ユーザごとに異なるソルトを使わない』ように
システムの設計・運用をする，という状況が，まったく想像できないよ」
と書いたつもりだったんだけど
そうじゃなかったんなら，こっちの読み違えだから謝るよ．ごめんね
>>497
twitter上で，ハッシュ関数をかける回数を増やす
ストレッチングを勧めている人がいるけど
このクラウド時代に，それで攻撃者との間に差をつけるのは難しいと思う
499 ：名無しさん必死だな：2011/05/16(月) 11:26:38.57 ID:BoqTgEbe0
>>498
クラウドのCPU貸し使えば、知性の欠片もないアホでも、総当たりという力業で解析できちゃうからねぇ
クラウドのCPU貸し使えば、知性の欠片もないアホでも、総当たりという力業で解析できちゃうからねぇ
トゥーシャイシャイハッシュハッシュアイトウアイ
501 ：名無しさん必死だな：2011/05/16(月) 12:11:53.29 ID:9sbINi3l0
>>498
その前のやりとりであまりしらなさそうな人がユーザごとに設定すると言うところを、都度ソルトを変更すると言う読み違えをしてたから、時系列では変わらないよと書いた内容だね
まあ、いずれにしろセキュアな状態とは言い難いなあ
その前のやりとりであまりしらなさそうな人がユーザごとに設定すると言うところを、都度ソルトを変更すると言う読み違えをしてたから、時系列では変わらないよと書いた内容だね
まあ、いずれにしろセキュアな状態とは言い難いなあ
502 ：名無しさん必死だな：2011/05/16(月) 12:43:08.47 ID:+VqGyMH1O
現実問題としてPSNのハック問題がバレた後に
複数のネトゲ会社から不正なIDパスワードによるアクセス急増と
パスワード変更の依頼告知が出ていたらしいからな
つまりアクセスを試したくなるようなIDパスワードの大量リストが
ネット上に誕生したのは間違いないわけで
複数のネトゲ会社から不正なIDパスワードによるアクセス急増と
パスワード変更の依頼告知が出ていたらしいからな
つまりアクセスを試したくなるようなIDパスワードの大量リストが
ネット上に誕生したのは間違いないわけで
PSNへ登録した個人情報を用いて、勝手に色々なところへ登録されるよ
ポストなどに不審な郵便物が届き始めた頃には、既に手遅れ
ネットワーク世界だけでなく、リアルに影響が出るだけの漏洩をやらかしたからね
ポストなどに不審な郵便物が届き始めた頃には、既に手遅れ
ネットワーク世界だけでなく、リアルに影響が出るだけの漏洩をやらかしたからね
>>501
そういうことか．ちょっと勘違いしてました．了解です．
こんなニュースが・・・
ユーザーがいくら強いパスワードを設定してようが
これじゃ意味無い
http://japan.cnet.com/news/service/35002906/
そういうことか．ちょっと勘違いしてました．了解です．
こんなニュースが・・・
ユーザーがいくら強いパスワードを設定してようが
これじゃ意味無い
http://japan.cnet.com/news/service/35002906/
今までは「ソルトなんて常識だろ」ぐらいに思っていたが
ちょっと調べたら
ttp://www.acunetix.com/blog/news/barracuda-networks-breached/
こんなニュースや
＞今の現場、パスワードに関しては不可逆なハッシュにしてDBに突っ込んでるけど
＞SALTまでは使ってないんだよね。
こんなツイートが・・・
どうもIT業界というものへの認識を改めなければいけないようだ
ちょっと調べたら
ttp://www.acunetix.com/blog/news/barracuda-networks-breached/
こんなニュースや
＞今の現場、パスワードに関しては不可逆なハッシュにしてDBに突っ込んでるけど
＞SALTまでは使ってないんだよね。
こんなツイートが・・・
どうもIT業界というものへの認識を改めなければいけないようだ
506 ：名無しさん必死だな：2011/05/19(木) 20:47:24.71 ID:XMDS2o+20
>>505
だって、DMZ上のApacheの脆弱性放置しちゃう人たちだぜ？
マトモなセキュリティ設計してるなんて誰も思わないよw
まあ、流石にパス再発行とか基本すぎるところをスルーするとは思っていなかったがw
だって、DMZ上のApacheの脆弱性放置しちゃう人たちだぜ？
マトモなセキュリティ設計してるなんて誰も思わないよw
まあ、流石にパス再発行とか基本すぎるところをスルーするとは思っていなかったがw
507 ：名無しさん必死だな：
＞ハッシュは不可逆変換なのに復元できるとか
バカなこと言ってる雑魚は死んどけよ
あ〜、プレイステーション使うような情弱はこんな事平然と書き込んで
「ボクちゃん、知恵遅れの馬鹿で〜す。ハッシュってなにかわかりませ〜ん」
って晒しちゃうのか。馬鹿は馬鹿ゆえに、自分がどれだけ馬鹿にされて笑いもの
になってるのかさえわかってないのか。爆笑。
ＳＯＮＹはパスワードを保存してない。ハッシュデータを照合につかってるとバラした。
これがなにを示すのか理解できないのか。そりゃ情報弱者、ＳＯＮＹのいいお客になる訳
だわｗ
バカなこと言ってる雑魚は死んどけよ
あ〜、プレイステーション使うような情弱はこんな事平然と書き込んで
「ボクちゃん、知恵遅れの馬鹿で〜す。ハッシュってなにかわかりませ〜ん」
って晒しちゃうのか。馬鹿は馬鹿ゆえに、自分がどれだけ馬鹿にされて笑いもの
になってるのかさえわかってないのか。爆笑。
ＳＯＮＹはパスワードを保存してない。ハッシュデータを照合につかってるとバラした。
これがなにを示すのか理解できないのか。そりゃ情報弱者、ＳＯＮＹのいいお客になる訳
だわｗ