Value Domainはユーザアカウントのパスワードを生で保存している

パスワードは平文保存は非推奨

Webサービスを展開する際にユーザアカウントを作らせることはよくありますが、漏洩リスクなどの観点からユーザが入力したパスワード情報をそのまま保存することは非推奨です。

IPAでも以下のように言っています。

たとえば,会員サービスのアプリケーションソフトウェアが画面1のように会員情報テーブル内にパスワードをクリアテキスト(そのまま読めるデータ)で保存していたとする。データベースの保守作業で使われたダンプリストが不用意に捨てられたり,バックアップテープが間違って持ち出されるなど,なんらかの事故や盗難などで漏洩した場合,テーブルに書かれているユーザID,パスワードをそのままの形で不正行為者が利用することができ,大変危険である

https://www.ipa.go.jp/security/awareness/vendor/programmingv1/b09_01.html

推奨されるのは鍵付きハッシュなどを用いた暗号化

パスワードを平文のまま保存しない方法はいくつかあり、鍵付きハッシュなどは手軽・効果的な方法なので利用されています。(ここで暗号化と書いているのは鍵付きハッシュ計算しのこととして書いてます)

暗号化したパスワードはたとえユーザの意図せず外部に露見した際であっても、他のユーザが窃用するためには「元の(平文の)パスワードを知らないと使えない」ためセキュリティが強化されます。

またリスト攻撃のような攻撃に対しても耐性がある程度生まれます。

他の参考資料にこの辺りもみると良いと思います。
Web – Webアプリケーションにおける「パスワードの保存方法」について整理してみた

Value Domainは平文で保存している可能性が高い

Value Domainでアカウントを作成すると、メールアドレスを確認するメールがきます。
このメールにパスワードの平文の頭文字が書かれていました。

何らかの方法で復元することができる形で保存していることは間違いないと言えます。
しかもそれをメールという媒体で送ってくるということから危険だと感じています。

危険なサービスか確認できてしまう瞬間

今回のようにあからさまにパスワードの平文の一部を返してくるケース以外にも、よく気付いてしまうのがパスワードリセットのタイミングです。

最近のトレンドはリセット用のリンクを送って、そのリンク経由でパスワードを新規設定することでサービス側がパスワードを通知することなくリセットができるという方法です。

Value Domainのパスワードリセットがどういうものかはわかりませんが他のサービスでも気にしてみるとセキュリティ意識向上になると思います。

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です