不正アクセスによりオンラインゲーム「777town.net」のアカウント情報が流出 33
ストーリー by kazekiri
大量流出 部門より
大量流出 部門より
siva-jp 曰く、
セガサミーホールディングスの子会社でオンラインゲームサイト「777town.net」を運営する
サミーネットワークスが、不正アクセスによる1,735,841名分の会員情報の流出を公表し、サービスを緊急停止した。(プレスリリース)
有料サイトであること、流出規模の大きさを考えると、今後の展開が注目される。
10月23日から不正アクセス攻撃がはじまり、11月4日からサービスを停止する11月10日までの間に不正アクセスがあった模様である。クレジットカードおよび決済情報は流出はしていないとのことだが、ゲーム会員のログインID、パスワード、メールアドレスが流出したとのことで、他サイトで同じアカウント名、パスワードのセットを使っている方は要注意だろう。
Tomcat 4.x (スコア:5, 興味深い)
２ちゃんサミータウンスレより
とのこと。
サーバー管理は株式会社エルテックス [eltex.co.jp]だそうです。
リンク先に詳しい構成がありますのでご参考まで
# 個人情報抜かれた方なのでAC
なんでパスワードまで流出するの (スコア:2, 興味深い)
Re:なんでパスワードまで流出するの (スコア:2, 興味深い)
Re:なんでパスワードまで流出するの (スコア:1)
> (plain/login)以外の認証が出来るところは全て、
というのは言い過ぎではないでしょうか。
Challenge-Response 方式が平文鍵を前提としているとは言えるかもしれませんが，
ハッシュ関数がデータに対して逐次的に適用される場合（HMAC-MD5 等）は，途中まで
ハッシュ値を求めておくことができます。この場合，平文を保存する必要はありません
し，こうした実装も存在します。
複数のハッシュ関数を使えるようにするには，それぞれにハッシュ値を求めて保存する
か，やはり平文を使うことが多いと思いますが。
Re: (スコア:0)
聞くまでもないな。
Re:なんでパスワードまで流出するの (スコア:1)
とすると、そのIDとパスで入って自分で確認できる情報も流出したと考えた方がよいみたいだね。
クレジットカードとか一部見せないでいるとか処理しているかもしれないけどね。
Re: (スコア:0)
どーなんでしょ。
告知メールには
なんて書いてありました。ログインして見れちゃう、という部分は念頭に置いてないっぽいので駄目なんじゃないかなぁ、と思うんですけどねぇ。
＃流出されたっぽいのでＡＣ
Re:なんでパスワードまで流出するの (スコア:1)
>ログインして見れちゃう、という部分は念頭に置いてないっぽいので駄目なんじゃないかなぁ
つまり、IDとパスが漏洩して、IDとパスがあれば得られる情報については漏洩していないという馬鹿なことを言っている可能性ですね。
あのサービスを使っていないし、今回の騒ぎで使う予定もないので、調べようがない。
>流出されたっぽいのでＡＣ
ということは、使っていたのかな？
そうでしたら、IDとパスで見られる情報の範囲とか教えてくれませんか？
そうしたら、あのサイトが嘘を言っているかどうか、すぐにわかりますから。
Re: (スコア:0)
使ってたんですが、現状サイト閉鎖されてるので「どこまで見れたか」って見れないし、さすがにサイト構成まで覚えてないんですよ・・・
Re: (スコア:0)
平文かどうかに関係なくパスワードそのものを保存していたことが問題だろう。
Re: (スコア:0)
ハッシュを保存していたとしても、ハッシュが流出すれば、プロトコルを合わせれば認証を通せるわけでしょ。
ハッシュが流出しても一緒。流出したこと自体が問題。
Re:なんでパスワードまで流出するの (スコア:2, すばらしい洞察)
>プロトコルを合わせれば認証を通せるわけでしょ。
通せませんよｗ
正確にはハッシュから元のパスワードを推測するのは困難です。
たとえハッシュ値とハッシュ関数が明らかでも、
そのハッシュ値にするための平文を見つけるのが大変なように
ハッシュ関数は設計されているはずだからです。
Re: (スコア:0)
Re: (スコア:0)
y=f(x)という関数fがあるとして、yからx(と、同じyの値が得られるx')が実質推測不可能なfがハッシュ関数。
別のコメントでも書かれてるけど、ハッシュ関数使った認証ってのは、
大雑把に言ってパスワードをxとして入れたとき得られるyの値と、手元に保存してあるyの値を比較して行う。
そういうfを使うから、yが漏れても認証通すにはxを入れないといけないわけで、元コメが言うようにまず通せない。
ハッシュ値が漏れるってのは、このyが漏れることで、生パスワードxが漏れるのとは影響の度合が全然違うよね？
まぁ、fが分かっているなら手元で総当りでyになるxを探せるわけで、変更した方が無難といえば無難。
でも、普通はfの方もsaltとかで強化するから、ある程度の強度を持つパスワードならバレる可能性はほぼないけど。
Re: (スコア:0)
セキュリティには、あまり詳しくないですが、
>正確にはハッシュから元のパスワードを推測するのは困難です。
それは困難ですが、ハッシュ値とハッシュ関数が明らなら、パスワードが正しいかどうかは判定できるはずなので
それらが手にはいるとパスワードの判定を多少速くできるようになると思います。
それはパスワード辞書や総あたりで見つける為の時間が多少短くなっただけで
もともとパスワードという方法をとっている限りあなたの希望する安全ではないと思います。
Re: (スコア:0)
これsha1なんだが、元のテキスト何かわかる？あなたのパソコンでブルートフォースでもしてどれくらい時間かかるか試してみて！
Re:なんでパスワードまで流出するの (スコア:3, 参考になる)
99%の人には「いまさら」だろうけど誤解が減るのは良いことなので書いておくと、Webサイトでの認証は
のように行われます。
このような手順を踏めば、
ので安全です。
Re: (スコア:0)
現実には元のパスワードが123456とかabcdefな場合がよくあるので、ハッシュが1件でなく全部流出した場合、へぼパスワードのアカウントは全部抜かれるんですけどね。
へぼパスワードが問題になるのはへぼ実装だけ (スコア:2, 参考になる)
それは、にわか知識で作られたへぼ実装の場合だけです。
ちゃんとした実装では、saltもその都度変更するので、同じパスワードでも異なるハッシュ値となります。
この辺 [unixuser.org]とか参照で。
＃ と偉そうに言いつつ、自分も先週知ったばかりなのでAC（汗
Re:へぼパスワードが問題になるのはへぼ実装だけ (スコア:2, 参考になる)
アルゴリズムとハッシュの組があればブルートフォースや辞書攻撃が可能です。
# ユーザごとに異なるアルゴリズムとして解いていく。
まぁこれにはアルゴリズムが判明しているって前提があるんで、この前提の保護を強化する事は可能です。
ソルトorハッシュに情報量の減らない追加演算(第二ソルトをハードコーディングしたり、ビットシャッフルやビット反転を掛ける)を加えることでアルゴリズムに改変を加えてしまえば、ユーザ情報DBに含まれるソルトやハッシュだけでは解けなくなります。
しかしこの場合も、ソースコード(や追加演算情報を格納した別DB)が抜き取られればやはり辞書攻撃が可能になります。
Re: (スコア:0)
Re: (スコア:0)
あなたの示された参照先にも書いてあると思いますが、salt をランダムにしても，
その値をどこかに保存しておかないといけません。もしそれがハッシュ値と同じ
ファイルの同じ行とかに保存されていたら、「ハッシュ値だけが流出」ということ
はまずないと思います。
ランダムな salt を付加することで、へぼパスワードが少し（場合によってはかなり）
マシなものになりますが、それは salt が知られていないことが前提にあります。
Re: (スコア:0)
失礼しました。「へぼパスワードが問題になるのはへぼ実装だけ」というのはちょっと過激な見出しでした。
元の全部抜かれる [srad.jp]というコメントの問題については大幅に解決しますが、全く問題が無くなるわけではなく、総当たりでいずれ突破されうるというのは皆様のおっしゃる通りです。
＃ たぶんいろんな方から突っ込みを受けているのは、そういう理由ですよねorz
＃ saltが漏れても容易には解析できなくなるので、はるかにマシとは思いたいのですが・・・とはいえ、昨今のマシンパワーを考えると安心はできないようですね。
Re: (スコア:0)
ハッシュとsaltの両方が流出した場合は？
Re: (スコア:0)
Salt → 調味料
アルゴリズム → 調理方法
ハッシュ → 初めて見る料理の見本写真
見本写真と塩だけで原料を推測できるかい？
# 料理なら見ればわかりますよねってのは無しね。
# 原料は原型をとどめていないので。
冷や奴好きな私に抜け目はないな。 (スコア:0)
> 料理なら見ればわかりますよねってのは無しね。
えっ？何のための例？分かりにくくするためですか？
Re: (スコア:0)
Re:なんでパスワードまで流出するの (スコア:2)
問題な。。。くないー (スコア:2, 興味深い)
アラートメールも基本無視だったのかなぁ。
個人鯖でさえアラートチェックしてる人からすると理解に苦しむ。
個人情報の扱いも許認可制が必要なのかね。
天下り先増やすのは嫌だが
規制効果でるなら税金の使い道として妥協できるかも。
Re: (スコア:0)
そもそも、Logwatchが走っていなかったとか・・・
それ以前に、FWでブルートフォース弾いていなかったのかと小一時間・・・
＃元、某S社の人なのでAC
11日の朝にアクセスした時の状況 (スコア:1, 参考になる)
・ゲームクライアントを立ち上げた時点では何のメッセージもなし。
・自動アップデート後、ログイン画面でも何のメッセージもなし。
・ログイン後に「緊急メンテ」(だったかな?)みたいなメッセージあり。
アカウント流出とかの表示は・・・あまり記憶にないです。
ただのメンテナンスだと思ってたらこういう事だったんですね。
しかしログイン画面の時点でメッセージを表示するべきじゃないかと…
777 (スコア:1)
777なんて盗んでくださいと言わんばかりの設定じゃないか(違