オススメ記事

【急募】プログラミングしてるやつとかSEに聞きたいことあるんだけど・・・

2020/09/16 20:00

人気記事

1: 2020/09/15(火) 20:19:33.094 ID:G0GJHBOT0

メールアドレス入力するとそのまま保存されたパスワードが送られてくる会員サイト（peach）があるんだけど未だにこんな設計許されるもんなん？
ふつうパスワードってハッシュ化して保存するもんじゃないの？
俺の認識違いかプログラマーのお前らに教えて欲しい
https://myaccount.flypeach.com/login?lang=jp

2: 2020/09/15(火) 20:20:27.350 ID:z3NU1cPu0

余裕

3: 2020/09/15(火) 20:20:51.330 ID:pUKUagVB0

こっわ

6: 2020/09/15(火) 20:22:07.472 ID:G0GJHBOT0

>>3
俺のやばいって認識間違ってないよな？

4: 2020/09/15(火) 20:21:00.795 ID:DRjW2XBo0

ハッキングする価値もないサイトなら別にいいんでね

10: 2020/09/15(火) 20:24:04.086 ID:G0GJHBOT0

>>4
名前、生年月日、電話番号、住所、パスポート、クレカ情報みれるぞ
もちろんすでに予約とった予約情報もいじれるしな
これマスクどころの騒ぎじゃないと思うんだが

7: 2020/09/15(火) 20:23:09.030 ID:QbvmHUpK0

その程度のクソ設計はよくある

8: 2020/09/15(火) 20:23:45.169 ID:CRdkj3/s0

jpcertとipaに報告だ

14: 2020/09/15(火) 20:26:52.354 ID:G0GJHBOT0

>>8
どうやって報告すんの
ちなみにpeachには数年前に報告したけどガン無視されてる
マスクの件で思い出した

50: 2020/09/15(火) 20:49:56.714 ID:1nnFshVw0

>>8
あいつら報告してもなにもしないぞ

54: 2020/09/15(火) 20:52:35.577 ID:44jO5OI80

>>50
一応忠告メールは出してるみたいよ。
テンプレ文だろうけど。
でこないだ5年くらいシカトされたソフトウェアの開発者がさらされてた。

9: 2020/09/15(火) 20:23:48.563 ID:dlkz7d86a

ハッシュ化しても八桁だと解析される件

18: 2020/09/15(火) 20:28:58.004 ID:G0GJHBOT0

>>9
無駄にパスワードの登録自体は8桁以上なんだよな

154: 2020/09/15(火) 22:27:28.818 ID:VpSqcCgI0

>>9
ハッシュ取られたらまずいかどうかなら
seedつければ問題ないぞ

155: 2020/09/15(火) 22:28:06.276 ID:aqaJm/je0

>>154
なんすか、今度は種付けっすか、兄さんもエロいねぇ

162: 2020/09/15(火) 22:31:09.538 ID:2GAqNpcq0

>>154つ【もしかして：salt】

163: 2020/09/15(火) 22:31:23.896 ID:VpSqcCgI0

>>162
ワロタそれだわ

11: 2020/09/15(火) 20:25:01.559 ID:uOrLw/6Q0

通報しろ

19: 2020/09/15(火) 20:29:43.955 ID:G0GJHBOT0

>>11
ipaに報告すりゃいいの？

13: 2020/09/15(火) 20:26:16.481 ID:dlkz7d86a

IPアドレスをソースに埋め込んだサイトもあるくらいだし脆弱性あってもよくあることの印象

22: 2020/09/15(火) 20:30:58.678 ID:G0GJHBOT0

>>13
別にIPアドレスをソースに埋め込んだくらいじゃ個人情報ばれないからそれはよくね？
知らんけど

43: 2020/09/15(火) 20:46:15.913 ID:CAKopgAK0

>>22
個人をただちに特定することができないというのがミソで
同じIPアドレスを使っていれば同一人物の可能性が非常に高いと判断することしかできないが
玩具にされるには格好の物件になるってとこがこないだの騒動で発覚した

16: 2020/09/15(火) 20:27:04.803 ID:ceLxUUW30

すげーな

17: 2020/09/15(火) 20:28:18.546 ID:CRdkj3/s0

脆弱性関連情報の届出受付：IPA 独立行政法人情報処理推進機構
https://www.ipa.go.jp/security/vuln/report/

32: 2020/09/15(火) 20:38:19.936 ID:G0GJHBOT0

>>17
ちょっと報告してくるわ

20: 2020/09/15(火) 20:30:29.211 ID:Ctz9tku50

ヤバすぎ
だけど小規模なサービスとかだとそんなサイト山ほどあるんだろうな

23: 2020/09/15(火) 20:31:33.951 ID:+r3pxRT3a

ハッシュ戻せるの？

30: 2020/09/15(火) 20:35:55.345 ID:QbvmHUpK0

>>23
戻せたら意味ない
戻せないから漏洩してもノーダメ

24: 2020/09/15(火) 20:33:47.901 ID:44jO5OI80

超絶クソだとは思うが、悪用する方法が思い浮かばん。
メアド乗っ取られたときのリスクでかくなるくらいか。

26: 2020/09/15(火) 20:34:36.653 ID:CRdkj3/s0

>>24
電子メールの送信の仕組みを調べてみれ

37: 2020/09/15(火) 20:41:23.143 ID:44jO5OI80

>>26
プロトコルによっては平文で送られるってところ？
それはソコソコまともなところでもリセット用のURLが送られてくるのが多いし今更じゃね？

36: 2020/09/15(火) 20:41:04.214 ID:G0GJHBOT0

>>24
個人情報、カード情報盗み放題じゃん
搭乗券悪用の可能性もでてくるし

39: 2020/09/15(火) 20:43:28.619 ID:44jO5OI80

>>36
いやメアド乗っ取られてたら何でもそうじゃね？

25: 2020/09/15(火) 20:33:48.303 ID:G0GJHBOT0

いちおうだけどパスワードのお知らせメールはこんな感じでくる
https://i.imgur.com/DK6PKbQ.png

53: 2020/09/15(火) 20:52:35.508 ID:q85ItJe20

>>25
このメールどうやったら届くの？

58: 2020/09/15(火) 20:54:45.453 ID:G0GJHBOT0

>>53
Peachのログインページで「パスワードを忘れた場合」からメールアドレスいれて送信すると届く
https://myaccount.flypeach.com/login?lang=jp

28: 2020/09/15(火) 20:34:50.304 ID:bQD1IoSF0

パスワード再発行でメールアドレスに送られてくるんだから
すぐに自分でパスワードを変更すればいいんじゃないの？
弱い？

29: 2020/09/15(火) 20:35:54.441 ID:44jO5OI80

ああ、DB触れる立場の内部に悪意があるやついたらやばいか。
サーバー運用なんてみんな底辺派遣だろうしな

35: 2020/09/15(火) 20:40:03.781 ID:CRdkj3/s0

というかパスワードそのものを保存している時点でアウト

49: 2020/09/15(火) 20:48:52.242 ID:44jO5OI80

>>35
それはどうだべか。
天下のマイクロソフトのActive DirectoryのDB見たらパスワードをbase 64エンコードしたものが入ってたよ。
まあadサーバ覗ける時点で何でも出来ちゃうからね。

38: 2020/09/15(火) 20:41:45.773 ID:4QwSwUUB0

ソルト入れてストレッチングするのはさすがに常識だろ

40: 2020/09/15(火) 20:43:46.214 ID:P8M9gqa60

docomoの話してる？

引用元: ・【Peach】プログラミングしてるやつとかSEに聞きたいことあるんだけど【飛行機】

オススメ記事

新着記事

【急募】プログラミングしてるやつとかSEに聞きたいことあるんだけど・・・

人気記事

人気オリジナル記事

おすすめブログ