Pixivのセキュリティ騒動についての解説＋おまけ

Amy Seaman @3hmii

Why is #admin trending in Tokyo? http://twitpic.com/62vk1g

拡大

Peter Durfee @Durf

@ameseys Apparently related to Pixiv (the admin interface was open to the entire interwebs at one point today)

Peter Durfee @Durf

Pixiv (social sharing site for illustrators) has been freezing accounts of artists drawing manga critical of the site: http://t.co/Qy7lm2z

Peter Durfee @Durf

Today Pixiv users discovered that image URLs contained the poster's login ID; the site has no wrong-password lockdown http://t.co/zZi6fA1

Peter Durfee @Durf

People went crazy brute-forcing accounts and found that the site's master admin tool was similarly accessible http://t.co/zZi6fA1

Peter Durfee @Durf

Here's some of the hardware Pixiv was hosted on just over a year ago, apparently: http://t.co/EuUspMO

Amy Seaman @3hmii

@Durf iiinteresting, thanks for the enlightenment :)

@Unknown_Plus

@genmai_tea しぶに致命的なセキュリティホール見つかったみたいっすけど大丈夫なんでしょうか。 @q4500

玄米茶 @genmai_tea

@Unknown_Plus カオスラウンジに直接関係がないので言及は控えていたのですが、私の把握していることと併せて返信致します。

玄米茶 @genmai_tea

PixivのシステムによるユーザID漏洩とパスロックの未実装(現在実装済)とadminツールについて http://t.co/Ga0EGRU

玄米茶 @genmai_tea

今回Pixivについて話題となっている点は二つです。

玄米茶 @genmai_tea

一つ目は一見表には出ていないように見えるログイン用IDが簡単な手順で外部から確認可能であり、また何回パスワード入力に失敗してもログイン制限が掛からないようであった。現時点では告知無いもののログイン制限機能が導入されている。

玄米茶 @genmai_tea

二つ目はインターネット経由で接続できない方が望ましい管理用サーバー群のID/パスワード入力画面にアクセス可能であり、話題になった途端次々とアクセスできないようにページが書き換えられているがこちらも運営からの告知が無い。

玄米茶 @genmai_tea

前者のログイン用IDに関しては一年以上前から一部では有名だったようですね。PixivブログにおいてもPixivでのログイン用IDが見えてしまう仕様であり、つい最近もそれをユーザーから指摘されていますが運営からの返答はまだ無い状況のようです。

玄米茶 @genmai_tea

『pixivblogは何故こんな仕様のデザインを公式にしているのだ？』 http://t.co/5w1j9Fu

玄米茶 @genmai_tea

ログイン用IDについては、Pixivでは各ユーザーにログイン用IDとは別に登録番号が割り振られているのでわざわざログイン用IDを外部に表示する意味が無いのでは、と以前から話題にはなっていたものの今回の件で広く知れ渡った形になりますね。

玄米茶 @genmai_tea

危惧されていたのは総当たりによるパスワード解析と、その結果知り得たパスワードと登録された個人情報がweb上の別サービスへのアカウントハックにも繋がるのではないかという点でしょうか。ただ昨日急遽ログイン制限機能が実装されたようです。

玄米茶 @genmai_tea

後者のID/パスワード入力画面にアクセス可能な件に関してはいつから外部よりアクセス可能だったのかが不明で、最悪を想定するなら既にクラッキングが行われており運営が気づいていないだけという可能性もあるため問題視されているようです。

玄米茶 @genmai_tea

昨日この件が話題になってまもなく、次々とID/パスワード入力画面にアクセスできなくなるよう対処がなされていて現在はほとんどのサーバーで入力画面へのアクセスができなくなっている模様です。

玄米茶 @genmai_tea

ただ対処したと見られる入力画面もデフォルトでは「It works!」という画面が表示されるらしいのですが、今回は「It workssl!」というジョーク混じりとも取れるメッセージが表示されているため「本当にPixiv運営による操作なのか」と混乱を招いているようです。

玄米茶 @genmai_tea

いずれにせよ運営の告知待ちですね。現時点でやれることと言えばweb上の別サービスでPixivと同パスワードを使用しているのであればそれをより強固なものに変え、告知が出るまでPixivへのアクセスを控えるくらいでしょうか。 @Unknown_Plus

玄米茶 @genmai_tea

今回の件は300万人以上のユーザー情報を抱えていて、話題にもなっているのにも関わらず告知も何も無しに場当たり的に見える対応をしている運営への不信感もあって、これだけ騒がれているのでは無いかと個人的には思います。

@q4500

@genmai_tea ログイン制限ですが、モバイルサイト上では実装されてない模様です。先程PC、スマホからのアクセス、10回のログインテスト実施しました。