あるAnonymous Coward 曰く、

4 月 6 日のストーリー「メッセサンオーの顧客情報漏洩、原因は化石級の杜撰なCGI」で話題になった、「WEBインベンター」のショッピングカートシステムだが、4 月 7 日付で「管理プログラムのセキュリティーの向上」と題したアップデートが出た。これによると以下の4つの対策がとられたという。

• クッキーによるログイン方式。
• 指定した IP アドレスからのみ管理プログラムにアクセスできる。
• パスワードの暗号化。
• メールフォームのスパム対策など。

このアップデートのお知らせには「新バージョンの管理プログラムのサンプル」が列挙されており、例えば「sample/SPF910/setup.cgi」で管理画面を試すことができるようになっている。お試し用の管理者パスワードが公開されており、それを入力するとログインできるのだが、Cookie　にはそのパスワードが生のまま入るようだ。そうすると、「パスワードの暗号化」というのはいったいどういうことだろうか。

また、サンプルの会員管理画面には、テスト用の疑似個人情報のリストがあるのだが、そこから 1 人の会員を選んで、会員個別の情報の画面を開くと、会員のパスワードも生で保管されていることがわかる。しかも、その画面のURLは、member.cgi?entry_no=XX&ID_NAME=XXXXX&PASS_W=XXXXX&mode=renew1 という形式になっており、ユーザの ID のみならずパスワードまで URL に載せられてしまっている。はたして、このシステムは安全なものになることができるのだろうか。

水無月ばけらのえび日記の記事によると、ユーザが会員登録時に入力したパスワードや名前などの個人情報データも、全てそのまま Cookie に格納しているらしい。パスワードの暗号化というのはきっとサーバ側の話題なんじゃないかな ! つまり今までは平文で…。