高木先生と河野先生がバトルなう

@bombarous

SSL非対応の端末しか持っていない人のために非SSL環境を用意するのは致し方ないとして、「SSL非対応の人がいるから」とSSL環境を用意しないのは言い訳になるのかね？

Shinji Kono @shinji_kono

どうしようもないっていうか、セキュリティとかって、こういうのをなんとかする学問なんじゃないかとも思う。QT IE6、企業でまだまだ現役 http://slashdot.jp/it/article.pl?sid=10/04/29/0150243

Shinji Kono @shinji_kono

@bombarous そんな、条件とかに何も制限付けないで、良く「認証が脆弱」とか、そういうこと言うことが良く出来るなぁ。機種IDを使ってもセキュアな認証は可能だと思う。

@bombarous

@shinji_kono どのようにすればセキュアに実装できるのでしょうか？

@bombarous

ううん、どんなにセキュアに作っても「ユーザーがパスワードを公開しないこと」とか「ユーザーが二重人格でないこと」とか、色々条件は必要だなあ。セキュリティは難しい。

Shinji Kono @shinji_kono

@bombarous 僕はいくつか思いつくけど。CHAPとかでも良いし。機種ID と、ユーザがパスワード覚えているのと本質的に差があるわけじゃないよね。パスワード裸で送るとかは良くないとしても、パスワードがダメとは言わないでしょ。推測し易さとかも程度問題だと思う。

@bombarous

@shinji_kono パスワードと比較して、ものすごく推測しやすいと思います。CHAP使っても元値がダダ漏れでは意味が無いと思いますが。

@bombarous

WebアプリにCHAPってどうやって実装するんだろう。JavaScript? それとも携帯自体に実装するんだろか。

@bombarous

@shinji_kono もう少し具体的に言うと、フォーマットと文字長・文字種が一定で、何と言ってもどのサイトにも同一の値が送られています。変更もできません。程度問題の範囲を超えているかと

Shinji Kono @shinji_kono

@bombarous それはさパスワードが8文字以下の英数字とかと同程度だと思う。それで容認出来るものもあるってぐらい。

Shinji Kono @shinji_kono

ちなみに、元々の主張は「機種IDを追放するのは難しいし、機種IDを得るAPIがある状況でそれを認証に使うことを禁止するには「機種ID追放」と言うスローガンはうまく働かないのではないか」です。

Shinji Kono @shinji_kono

機種IDをURLに載せたり、固定パケットに安易なencodeで送るってのは良くないだろってのは、そう思う。別に機種ID認証に賛成しているわけではないです。

@bombarous

@shinji_kono 8文字以下の英数字と比べても、強度計算をするまでもなく脆弱ですよね？ "8文字の数字"なら分かりますが。

@bombarous

@shinji_kono SSLv2は、SSLv2にしか対応していない端末がまだ残ってたり、SSLv2に対応したモジュールもたくさんありますが、もはや現役ではないですよね。

@bombarous

誰か代わりに英数字8文字以下とユーザ識別IDの強度比較してください。天文的な違いが出ると思うけど、残業代も出ないのでやる気おきません（ぉ

@bombarous

ていうか、外部に漏洩している時点で強度比較のしようがないんだけど。

@bombarous

俺がパソコンから離れないので嫁さんおかんむり。

@bombarous

@shinji_kono エンコード前の利用者識別IDが漏洩しているのなら、どうエンコードしても成りすまされませんか？

しーやん @c_nyan

@shinji_kono 機種IDはどのサイトに対しても同じものが使われます. パスワードを覚えさせている場合は、サイトごとにパスワードが変えれます. 全然同一視できないと思うんですけど

Shinji Kono @shinji_kono

@c_nyan 僕は機種IDで十分と主張する気はないけど、サイト毎に異なるパスワードを要求することがユーザに取って幸せとも思わない。それはキーが異なれば良いと言うことなら、同じ機種ID で異なるキーを管理すると言うのもあり得ると思う。

しーやん @c_nyan

@shinji_kono 「同じ機種ID で異なるキーを管理すると言うのもあり得ると思う」といわれても現実として実装がそうなっていないわけですし、それをした場合にはそれは機種ID方式とは呼ばれないと思いますよ

しーやん @c_nyan

@shinji_kono 後は機種IDから生成された、サイト毎には違うキーだったとしても、ユーザが変更できない場合には、何らかの形で漏れた(DNSリバインディング攻撃とか)時に困りますよね. まともな一方行関数を使われていれば影響は1サービスに閉じるので生の機種IDよりマシですが

しーやん @c_nyan

なんかアレだな. 修正機種ID方式が安全かどうかをどこまで検証したのかも疑わしい(脇の甘い発言だらけだし)し、それをしてたとしてもその正しい実装の周知を終えるまでは機種ID方式 dis キャンペーンの前に立ちふさがってはいけない(そうしないとダメ実装が増える)という認識もなさそう

しーやん @c_nyan

そりゃ高木先生に「よくそんなんで大学の情報系で教えてられるわ」と罵倒されるよ

しーやん @c_nyan

まあ、つぶやきにどこまで責任/真剣さをもつのっていう話もあるけど、dis キャンペーンに立ちふさがる形で参入しているから、非難は免れえないよなあ・・・