「Google Apps 経由で Twitter の社内文書が盗み出されてネットにばらまかれる」記事へのコメント

hogefuga でも foobar でもなく

[reo (4042)]

"password" だったようです。 [techcrunch.com]

--
Hiroki (REO) Kashiwazaki

Re:hogefuga でも foobar でもなく

[s02222 (20350)]

なるほど。なにがしかをクラックした後で、パスワードを"password"に変えとく、ってな追加攻撃もあり得ますね。つっこまれると対応が地味にめんどくさそう。

「なんでそんなバカなパスワードを使ってたんですか?」
「いえ、これはうちがそこまでバカじゃありません。攻撃者に変えらてしまいました」
「じゃあ、元々なんだったんです?」
「公表は出来ませんが安全なパスワードでした」
「ホントに?」
「断言できます」
「でもクラックされたんですよね? なぜ?」
「・・・」

# 今回のがそうだというんじゃなくて、インスパイアされて思いついただけなのでオフトピですが。

Re:

[Anonymous Coward]

"password"は論外としても、
そもそも、社内機密文書に自由にアクセスできるクリティカルな権限を、
高々10文字前後のパスワードなんて簡単に推測可能なもので保護しよう
いうのが間違い。

> Google Apps や Twitter に脆弱性があったわけではないようだ。

そんな緩い認証しかないGoogle Appsに社内機密を預けたTwitterには
間違いなく問題あったと思う。

また、「Googleは入れ物を提供しただけなので罪は無い」と考える人も
いるかもしれないが、
Google Appsがローカルアプリケーションの置き換えを謳っている以上、
デフォルトでそんな緩い保護しか提供していないのなら、
謳い文句に瑕疵があるわけだ。
クライアントが無知なのは罪かもしれないが、
無知なクライアントを騙して益を吸い上げる側に罪が無いとは言えまい。

まあ、他社に機密文章を預ける行為にはそれ相応のリスクがある
と言えば、まあそれだけのこと。

Re:

[Anonymous Coward]

どんなに優れた暗号化アルゴリズムだったとしても、パスワードが一文字だとしたら一瞬で解読されます。
まずは、暗号についての教育をして、どのようなパスワードが駄目なのか？の理解を徹底してから使う事とするべきです。
なので、そういった教育をしないで使ってしまった会社が悪いです。

まぁ、どうしてもGoogleの方へ責任を押し付けたいのなら、24文字以下のパスワードは通さない、などのようにするべきか・・・

Re:

[Anonymous Coward]

データは手元で自分で管理しろとストールマン尊師も言っておられましたな。
「クラウド」に噛み付いたことのほうがインパクトもあり、そっちにみんな目がいってたけれど。
本当に言いたかったのはこっちですよね。

Re:

[Anonymous Coward]

>自分で管理しろと

いや、RMSの主張は、データも
管理(という名のアクセス制限)を「するな！」というものでしょう。

氏のPCやワークステーションはパスワ無し、ときいたぞ。
なぜなら「ワタシのPCにあるデータをいつでも誰でも活用できるように」だ、と。

＃ほんとに秘匿したい情報は電算化しない、ってことなのかな？＞RMS
＃それはそれでなかなか原始人的な生活だ…

Re:

[Anonymous Coward]

それは昔の話。RMSさんもcrackされてデータを飛ばされたか改ざんされて以来パスワードをかけるようになったといってたはず。

Re:

[Anonymous Coward]

それの何が悪いの?
少なくとも俺はこのコメで面白い情報を得た。
彼がどこから情報を得たとか関係ない。

もとの日記だってTech Crunchの記事を参照してんだろ?
その違いは?

Re:

[Anonymous Coward]

「自分の力で見つけた」のでなければ、
「誰それによると」「このサイトの情報では」と出展を示すのが道義では。

# 学術分野ならルール。カジュアルなネット上のニュースメディアという意味で道義。