OCNのパスワード定期変更の意味

荒牧護 @arainmonk

パスワード定期変更が無意味とかって議論な、わかってねぇ奴多すぎるな。OCNは過去に大規模にやらかしちゃったけども、OCNからパスワードが漏洩する可能性があるから定期的に変えろって話じゃないんだよ。

荒牧護 @arainmonk

ユーザの質問に対するOCN側の回答がよろしくないというのは同意だが、ちょっと調べりゃその道の人ならわかんだろ。

荒牧護 @arainmonk

OP25Bで外部への25番ポートへの接続ができなくなった今、どうやってspamメールが送信されているかというと、 盗んだパスワードによって正規に認証を通した上でISPのメールサーバから送られてるわけよ。 つまりどこのISPでもユーザのメールパスワードが漏洩しているという事実。

荒牧護 @arainmonk

で、どうやって漏れてるかっていうのは想像するしかないんだけど、ウィルスに感染したユーザ端末が直接漏らしたり、たいていはフィッシングに引っかかってたりとかで、本人気づいてないのね。さっきの資料で言うとそういうユーザが500人に一人って割合でいることになってる。

荒牧護 @arainmonk

一方でOCNのユーザ数ってのはどんだけ盛ってるか知らんけどいま800万ユーザ以上で、メールのアカウントを複数持ってるユーザなんてのも山ほどいるわけ。おもらししてるユーザの割合は少なくても、OCNほどユーザ抱えてると絶対数はどうしてもすごい数になっちゃうよね。

荒牧護 @arainmonk

で、OCNのメールサーバはspamの踏み台になりまくってて、主要なブラックリストに登録されまくりでちゃんとしたメールも送信できなくなってる。 でも、実際に誰のパスワードが漏れてるかってのはspam送信されてブラックリストに引っかかりまくってみないとわからない。通信の秘密的な話で。

荒牧護 @arainmonk

ちうわけで全員にパスワード変更を定期的に求めるという流れ。別にパスワードの強度がどうこうとか、定期的にパスワード変更しろとか意味ねーしって話じゃなくてな。お前にとってはそうでもOCNにとっては意味あるんだよ。

荒牧護 @arainmonk

定期的に変えると安直なパスワードにし易いとかな、余計なお世話だっつー。パスワードクラックが常に辞書アタックでしか成功しないとでも思ってんのか。