JALが自称2段階認証()で再びZAL穴と話題に

徳丸 浩 @ockeghem

あちゃー>RT

徳丸 浩 @ockeghem

「二段階」にせずに、ログイン時に生年月日を一緒に入力してもらえばよかったね > JAL それと、ログインアラートメールはすぐに実装できると思うけど

徳丸 浩 @ockeghem

JALの「2段階認証」、高木浩光氏の指摘のように年齢がわかってしまうことに加えて、氏名とマイル残高がトップ画面に表示されるので、マイル残高の多い利用者について重点的に生年月日を調べることもできてしまいますね。詰めが甘くて残念

Hiromitsu Takagi @HiromitsuTakagi

JAL曰く「会員情報参照…や…に際し、生年月日による認証が必要」とのことだが、いったい何を守りたいのだろうか。予約の画面に進めば、生年月日の入力なしに、登録済みの家族の情報とかも出てきてしまう。 pic.twitter.com/0Mg91M2jqC

拡大

Hiromitsu Takagi @HiromitsuTakagi

携帯電話番号もメールアドレスも出るし、守られるのは住所くらいなものか。 こうなることは、日頃JALサイトを使っていればわかることなのに、社員にもわからないのだろうか。 だからあれほど「まともなセキュリティコンサルに相談して、根本からセキュリティを考え直したほうがよい。 」と。

瓢箪庵提督@横須賀鎮守府 @awapie

@HiromitsuTakagi JALが守りたいものは顧客の安全ではなくて、企業としてこれだけセキュリティに配慮しているという虚勢。よっぽどコンプライアンスとか危機管理担当がお間抜けなんでしょう。

SAKIYAMA Nobuo/崎山伸夫 @sakichan

@HiromitsuTakagi 年齢は、入力時の計算と、予約便の日付の計算と、どちらなのだろう？後者の場合、国内線が予約可能な2ヶ月後までの間にあるかどうかの判定が可能で、しかも「ある」場合は完全に絞り込める。

🌻ﾅょωﾚよ″丶)ょぅすﾚﾅ🌻 @rna

@sakichan 小児運賃の計算が搭乗日の年齢でやってるなら予約日時点の年齢で表示されそう。ANAは搭乗日の年齢で計算してるみたい。JALもどっかに書いてないかな…

SAKIYAMA Nobuo/崎山伸夫 @sakichan

@HiromitsuTakagi そして、国内ホテル付きの予約のほうにすすむと、半年先まで予約可能で、この画面で、予約便の日付だと確認できた！なお、国際線はパスポート情報と紐付けるからか、生年月日欄が伏せ字で登場し、年齢表示は無かった（予約を完全に入れるとまた違うかもしれない）。

SAKIYAMA Nobuo/崎山伸夫 @sakichan

@HiromitsuTakagi つまり、２分の１の確率で誕生日は引き出せるし、引き出せる場合は最大8回の試行で行けちゃうかな？( 2^7 < 365/2 < 2^8)

SAKIYAMA Nobuo/崎山伸夫 @sakichan

@HiromitsuTakagi やや厳密に: まず、当日予約試行で現在の年齢が分かる。次にダイナミックパッケージ予約は3日後から半年+2週間の予約が可能で、確認できる確率は２分の1よりやや多い。試行8回で「3日後」の場合は国内便予約試行2回追加で1,2,3日後の中から確定。

SAKIYAMA Nobuo/崎山伸夫 @sakichan

@HiromitsuTakagi そしてなんと生年月日確定できる確率は大幅に高いことが判明。「JALたびキットレンタカー予約」。これが現時点で来年 5/31 配車まで可能。予約期間の更新は月単位なのかな？これでも年齢が出る。 jal.co.jp/domtour/sozait…

ともくんのママ @uasi

同じパスワード3回入れて3段階認証とか言い出しそう / “JAL - JALホームページにおける2段階認証の実施について” htn.to/EmspZD

yu @youkoseki

なんでもそうだけど、たとえばJALの二段階認証、あれをちゃんと仕様通り開発した人がいるというのが泣けるよな。

無課金ユーザー @naotaco

でかい会社、えらい人との会議を1時間×10回とか繰り返すことでJAL流二段階認証のような案がまともなものに見えるようになってくる魔界だからな

無課金ユーザー @naotaco

「これはまずいのでは…」 「でも、二段階は二段階でしょ？2つの段階があるよね？嘘ではないよね？」 「はい…」 「誕生日を知らない人がログインできなくなれば不正アクセスの確率は下がるよね？」 「ほとんど変わらないかと…」 「上がることはないよね？」 「はい…」 そしてリリースへ

でゅらはん @Dullahan

JALの二段階認証、「上っ面のお客様の利便性」しか考えてなくて、アカウント狙う側からの視点が全くないから、結局のところ「お客様の安全」が守られてない結果になってるのでは。

だち @Neducchi_Nakgwa

俺の好きな言葉、ワンアウト・セーフ。 一回間違えることはよくあることだし仕方がない。ワンアウトまでは、セーフ。問題はそのときどう謝ってどう考えて、どう対策するか。 一流企業でJALみたいに連続でツーアウト食らったところは、退場して頂きたい。

roguerobot @uminomokuzu

jal.co.jp/info/jmb/14073… どんだけアホの俺でもこれは一般にいわれる二段階認証でないことはわかるよ。。

SKS rep @repeatedly

JALが変な2段階認証を実装した影響で，他の会社のまともな2段階認証の信頼性が落ちる可能性ワンチャン

skiplope @skiplope1326

JALのにだんかいにんしょう的な何かの何が迷惑って、結果JALがお漏らしすることよりも、JALみたいな影響力のある企業がなんちゃってやらかすことで二段階認証ってこういものだと誤解か広がること。

ɐqɐq ıʞnʎıɥsoʇ @baboo

JALの二段階認証を見て、あの大企業もこれで実装してますという無能上司の説得の仕方もあり。

かねこせいじ @k3c

おい、ホームページでは二段階認証が当たり前らしいな！うちもつけとけ！生年月日でいいらしいぞ！確かもう顧客情報に入ってるから勝手に使えるしな！…は？セキュリティ？あのなJALも生年月... fplus.me/p/8xV1/53683493 pic.twitter.com/BN26ndkZ68

拡大

田中瑠海 @nukalumix

この手の自称2段階認証が、正確に実装されて、自慢気にリリースされる様は、「IT版ドリームハウス」と呼ぶべきだね。 / “JAL公式サイトの2段階認証がZAL : 市況かぶ全力２階建” htn.to/eTgnG2

辻 伸弘 (nobuhiro tsuji) @ntsuji

これは二段階認証と呼べないと思いますよ。 / JAL - JALホームページにおける2段階認証の実施について bit.ly/1pxgYlT