武田先生と徳丸の対話: 某サイトから漏洩したパスワードがAmazonに対して悪用されなかった事例からどこまでのことが言えるか

徳丸 浩 @ockeghem

興味深い。やられる前に変更できてよかった / 他17コメント b.hatena.ne.jp/entry/ascii.jp… “ASCII.jp：Amazonから「パスワード変えといた」メールが来た” htn.to/pYMDss

keijitakeda @keijitakeda

「パスワードは漏洩したらすぐに悪用される」の反例 twitter.com/ockeghem/statu…

徳丸 浩 @ockeghem

あまり意味のある反例とは思えませんが RT @keijitakeda: 「パスワードは漏洩したらすぐに悪用される」の反例 twitter.com/ockeghem/statu…

keijitakeda @keijitakeda

@ockeghem どうしてでしょうか？

徳丸 浩 @ockeghem

これが、(1)フィッシングで漏洩した、(2)マルウェアにより漏洩した、(3)当該サイトの従業員が漏らした等であれば、「すぐに攻撃しないとは意外だ」となりますが、今回のケースはパスワードの使い回しをしていたことから他サイトからの漏洩の可能性が高いからです @keijitakeda

keijitakeda @keijitakeda

@ockeghem 使い回しているパスワードが他サイトから漏洩した場合、そのパスワードはすぐに悪用されるとはかぎらない。ということでしょうか？

徳丸 浩 @ockeghem

Amazonでは「たまたま」悪用されなかっただけで、他のサイトや目的で攻撃を試みたかもしれません RT @keijitakeda: @ockeghem 使い回しているパスワードが他サイトから漏洩した場合、そのパスワードはすぐに悪用されるとはかぎらない。ということでしょうか？

keijitakeda @keijitakeda

@ockeghem 「たまたま」であろうがなかろうがある論理が成立しないケースの存在を示すものが「反例」だと思います。

徳丸 浩 @ockeghem

サイトXから漏洩したパスワードがサイトYに対して攻撃が来なかったことが推定されるというだけのことですので、例として出すまでもなく自明ことでしょう RT @keijitakeda: @ockeghem 「たまたま」であろうがなかろうがある論理が成立しないケースの存在を示すもの

keijitakeda @keijitakeda

@ockeghem つまり「使い回しているパスワードが他サイトから漏洩した場合、そのパスワードが他のサイトに対してすぐに悪用されるとはかぎらない。」ことは自明だと考えられているということになりますでしょうか。一方漏洩元となったサイトに対してはすぐに攻撃されているとお考えでしょうか

徳丸 浩 @ockeghem

それに対しては、この事例からは「分からない」が正解かと思います RT @keijitakeda: @ockeghem つまり「使い回しているパスワードが他サイトから漏洩した場合、そのパスワードが他のサイトに対してすぐに悪用されるとはかぎらない。」ことは自明だと考えられていると…

keijitakeda @keijitakeda

@ockeghem この事例から何が言えるかという話をしているのではなく、一般論として「パスワードは漏洩したらすぐに悪用される」が成立するか（この事例がその反例となるか）という話をしていたかと思います。

徳丸 浩 @ockeghem

私は元々「この事例から何が言えるか」を話題にしています RT @keijitakeda: @ockeghem この事例から何が言えるかという話をしているのではなく、一般論として「パスワードは漏洩したらすぐに悪用される」が成立するか（この事例がその反例となるか）という話をしてい

keijitakeda @keijitakeda

@ockeghem こちらのツイートで「『パスワードは漏洩したらすぐに悪用される』の反例として意味があるとは思えない」という話をされているのかと思ってしまいましたが、ご本人が違うというのであれば違うのでしょう。失礼しました。 twitter.com/ockeghem/statu…

徳丸 浩 @ockeghem

「『パスワードは漏洩したらすぐに悪用される』の反例として意味があるとは思えない」という意見は、「この事例から何が言えるか」という話題かと思いますが RT @keijitakeda: …ご本人が違うというのであれば違うのでしょう。失礼しました。

keijitakeda @keijitakeda

@ockeghem 「『パスワードは漏洩したらすぐに悪用される』の反例として意味があるとは思えない」の理由として「サイトXから漏洩したパスワードがサイトYに対して攻撃が来なかったことが推定されるというだけのことですので、例として出すまでもなく自明」を挙げられたと認識しました。

徳丸 浩 @ockeghem

はい。「この事例は」自明でないことの例ではない（自明なことの例にすぎない）ので、「反例として意味があるとは思えない」と言いました RT @keijitakeda

keijitakeda @keijitakeda

@ockeghem そこで何が自明なのかを確認するため私は「使い回しているパスワードが他サイトから漏洩した場合、そのパスワードが他のサイトに対してすぐに悪用されるとはかぎらない。」ということが自明か？という確認をしました。

keijitakeda @keijitakeda

@ockeghem ということで「使い回しているパスワードが他サイトから漏洩した場合、そのパスワードが他のサイトに対してすぐに悪用されるとはかぎらない。」は自明でしょうか？

徳丸 浩 @ockeghem

私はそんな話はしておらず、自明とまでは言えないと思います RT @keijitakeda: @ockeghem ということで「使い回しているパスワードが他サイトから漏洩した場合、そのパスワードが他のサイトに対してすぐに悪用されるとはかぎらない。」は自明でしょうか？

keijitakeda @keijitakeda

@ockeghem では「サイトXから漏洩したパスワードがサイトYに対して攻撃が来なかったこと」は自明なのでしょうか？

徳丸 浩 @ockeghem

そうですね。「サイトXから漏洩したパスワードを用いてサイトYに対して攻撃が来ない場合がある」は自明と言ってよいかと思います RT @keijitakeda: @ockeghem では「サイトXから漏洩したパスワードがサイトYに対して攻撃が来なかったこと」は自明なのでしょうか？

keijitakeda @keijitakeda

@ockeghem では「他サイトから漏洩パスワードを用いて漏洩元とは別のサイトに対して攻撃が来ない場合がある。」は自明でしょうか？

徳丸 浩 @ockeghem

@keijitakeda 違う話題になってませんか?

徳丸 浩 @ockeghem

まぁ、あるかないかで言えば、「攻撃が来ない場合もある」でしょうね。パスワードが目的でなかったケースとか RT @keijitakeda: @ockeghem では「他サイトから漏洩パスワードを用いて漏洩元とは別のサイトに対して攻撃が来ない場合がある。」は自明でしょうか？