パスワードを忘れた? アカウント作成
13050307 story
政府

金融庁が家計簿アプリ事業などを登録制にする方針を示す 37

ストーリー by hylom
ベンチャーには向かい風? 部門より

昨今ではスマートフォンやPCから利用でき、オンラインバンキングなどと連動できる家計簿アプリが登場しているが、こういったアプリの提供者を登録制にする方針を金融庁が示している(日経新聞NHK)。

昨今の家計簿アプリではあらかじめネットバンキングやクレジットカードのネットサービスのアカウントを登録しておくことで、クレジットカードの利用履歴や銀行口座の取引履歴などを自動的に家計簿に取り込んで管理できる機能があるが、これらアカウント情報自体や関連する個人情報の流出などを危惧しているようだ。

具体的には財務内容が一定の要件を満たしているかや、個人情報保護体制が十分かどうかを国が確認するとしている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • いわゆるWELQ問題で早く動いた(初動まではおそかったが、通報受けてからはめちゃ早い)ような
    まともな規制団体であれば良いと思います。

    #官僚の天下り先でもいいけど、ちゃんと守られるべき人が守られれば良いと最近は思うようにしている。
    (「日本ユニセフ協会」と国連のユニセフ(国際連合児童基金)どちらでもたとえピンハネされても、
    必要な資金が必要なところに行くのならそれはそれで良い)

  • by Anonymous Coward on 2016年12月12日 12時41分 (#3128600)

    そんなことより他人にパスワード渡すとか頭おかしいって啓蒙しろよ。

    • by gyokuto (45996) on 2016年12月12日 12時51分 (#3128604)

      ですよねー…。
      ReadOnlyのトークン 的なものだったらまだしも、
      お金関係で 全アクセス可能なパス とか、
      セキュリティ万全! とか謳ってても、さすがに渡せねーですわよ…。

      親コメント
      • by Anonymous Coward on 2016年12月12日 13時10分 (#3128612)

        今のまともな銀行の多くは送金にはワンタイムパスワードいりますよ...
        ワンタイムパスワードより以前でも別のパスワードが余分に必要だったし

        親コメント
        • みずほ銀行のトランザクション認証 [security.srad.jp]のMACは8桁なので比較的強度が高いですが、大抵の銀行のワンタイムパスワードは、時刻ベースの6桁の数字です。

          オンラインバンキングなどと連動できる家計簿Webアプリは、その性質上、平文で金融機関のIDとパスワードを保存しています。それが漏えいした場合に、多数のアカウントに対してリバースブルートフォース攻撃を仕掛ければ、不正送金が成功してしまう可能性が高いです。

          毎回乱数で試行するとして、ロックされるまでに1アカウントにつき5回試行でき、50万アカウントが漏えいしたとすると、 1 - (999,999/1,000,000)^(5*500,000) ≒ 0.91791510399 と、90パーセント以上の確率で何れかのアカウントでの不正送金が成功してしまいます。

          (実際には、時刻ベースのワンタイムパスワードは30秒更新なことが多いため、同一のアカウントに対しては完全な乱数ではなく過去の試行とは別の数字にし、30秒以内に新しい数字を試すことで、更に確率を高められます)

          なお、多段階認証の一環として、普段と違う環境(ISP、Cookie、UserAgentなどで判定)からのログインの際に追加認証として秘密の質問への回答を要求する金融機関も増えてきていますが、家計簿Webアプリもそれらの情報の登録を要求しているため、一緒に漏えいすれば同じことです。

          # みずほ銀行は、残高照会・入出金明細照会等専用のアカウントを、普通のインターネットバンキングのアカウントとは別に発行できる [mizuhobank.co.jp] るので、家計簿アプリも安全に使用できます。トランザクション認証への対応と、Webサイト全体の常時HTTPS(TLS)化もしていることから、邦銀の中では最高レベルのセキュリティだと思います。

          親コメント
          • by Anonymous Coward

            みずほに限定しなくても他行でも、機能限定のオンラインバンキングサービスは昔からやってますよ。
            SMBC とかだとこちら [smbc.co.jp]

            セキュリティやオンライン関連に関して、みずほは1年から2年出遅れてることが多いんですけどね。

            • by Anonymous Coward

              三井住友は、トランザクション認証対応してないし、
              インターネットバンキングのパスワードも8文字まで(数年前までは数字4桁)と最低だった

              法人向けは画像読み取り装置付きトランザクション認証が当たり前になってきたけど
              一般個人向けでトークン型のトランザクション認証やってるのは今でもみずほだけ

              過去はどうあれ、今はセキュリティで選ぶなら、メガバンクではみずほに一択
              ネット専業を入れるなら住信のスマホアプリで取引承認する仕組みももなかなか良い

          • by Anonymous Coward

            みずほ銀行でも流出件数が多けりゃ不正送金できる率上がるから同じよ
            全件アタックされて数件しか不正送金成功しないなら十分

            パスワードの桁数なんかよりも、アタックされてることを検出できる体制にしているか、検出されたときどうするかの方が重要
            今の銀行はセキュリティ名目でユーザーに不便を強いる方向にしか動いてなく、実際のセキュリティ意識は残念ながらどこも低いと思う

          • by Anonymous Coward

            何かよく判らないが、振り込め詐欺より遥かに困難なことは理解した

          • by Anonymous Coward

            HTTPSをブロックしていた [security.srad.jp]割にはしっかりとした対応なんですね。

            • みずほ銀行は、

              1. 2014年11月26日以前: HTTPS でアクセス可能だった
              2. 2014年11月27日以降: HTTPS でのアクセスをブロック [security.srad.jp]
              3. 2015年04月10日以降: 再び HTTPS でのアクセスが可能になる [security.srad.jp]
              4. 日付不明: 何故か、また HTTPS でアクセスできなくなる
              5. 2016年10月23日以降: みずほ銀行ホームページの常時SSL化とデザインリニューアルのお知らせ [mizuhobank.co.jp] を公式発表 再び HTTPS でのアクセスが可能になる ← 今ここ

              と迷走を続けていました。

              推測ですが、

              • SHA-2 非対応の古いブラウザやガラケーを切り捨てる決断はなかなかできない
              • Chrome が先行して SHA-1 証明書に対して警告を示す黄色の三角が表示された錠アイコンを表示するなどの対応をとったため、警告マークが表示されるよりは HTTP の方がマシだと判断

              などの理由で、銀行内で意見対立が生じるなどして、迷走してしまったのではないでしょうか。

              新しい告知文章 [mizuhobank.co.jp]には、

              常時SSL化とは、ウェブサイトのすべてのページをhttps化(通信の暗号化)するセキュリティ手法のことで、みなさまに安心してご利用いただけるホームページの実現を目指します。

              なお、常時SSL化するに際しては、サーバ証明書は「SHA–2」方式、通信プロトコルはSSL3.0を廃止しTLS1.0以上となりますので、以下に記載のご利用いただけない環境でご利用の場合は、当行ホームページをご利用いただけない可能性がございますので、バージョンアップ等のご対応をお願いいたします。

              (以下、「常時SSL化によりご利用いただけない環境」を列挙)

              当行ホームページのご利用にあたっては、OS(オペレーティングシステム)がWindows系の場合には、Internet Explorer 11、Firefox 最新版、Google Chrome 最新版を、OSがMac OS Xの場合には、Firefox 最新版またはSafari 最新版をご利用いただくことを推奨します。(強調は引用者)

              と、SHA-1 だけでなく SSL3.0 もはっきり切り捨てる旨が書かれており、また三井住友銀行や三菱東京UFJ銀行が IE をのみを動作確認環境としている中、Firefox・Google Chrome・Safari、しかも「最新版」と明記した上で推奨している点も評価できると思います。

              (SSL 3.0 を廃止しているのに「常時TLS化」や「常時HTTPS化」ではなく、「常時SSL化」と表記している点には違和感を覚えますが……)

              過去の迷走は酷かったけど、今現在のセキュリティ面での対応は素晴らしい と思います。

              親コメント
        • by Anonymous Coward on 2016年12月12日 14時29分 (#3128655)
          PCから振り込むときは、PCと、ワンタイムパスワード発行アプリが入ったスマホがいるのだけど、
          スマホのアプリから振り込んだら、パスワードいらんかったです。
          親コメント
          • by Anonymous Coward

            それはワンタイムパスワードの確認をスキップしてるのではなく
            ワンタイムパスワードの入力の手間をスキップしてるだけのタイプか
            もしくは、アプリ利用開始時に利用登録として口座契約登録の電話番号などで本人確認をして
            利用のスマホの電話番号や固有番号と口座契約者を紐付けして信用担保にしてるのではないでしょうか
            どちらにしろいきなり他のスマホでログインして振り込みはすんなり出来ないと思いますよ

        • by Anonymous Coward

          わざわざ多段階認証にしているのに、自分から穴を開いていくスタイルですね。

      • by Anonymous Coward

        OAuthとか実装するのは金融機関の人たちにはハードル高いだろうし、
        2段階認証によくあるアプリパスワードを発行する形の方が実装しやすいと思うけどな。
        情弱利用者にとっても、OAuthみたいにあっち行ってこっち行って、とかいうのはわかりにくいし、
        下手するとフィッシングにかかりやすい。
        公式サイトでパスワードを発行させて、それでログインしてね、の方がわかりやすい。

        まぁ日本の大企業や金融機関は超保守的でアプリやサービスのUIもクソだし最低限のことしかできないし、期待はしてない。
        とりあえず、モバイルアプリがどこもほぼ例外なくクソなのはなんでなんだろう。iOSで言えば、スワイプで戻る、に対応してないのが基本。
        左上の戻るボタンでしか戻れないとかクソすぎる。
        それから、ログインの時のパスワードをペーストできないところもいくつかある。パスワード管理アプリ使ってると詰む。
        UXって何も考えてないよね。

    • by hgsdrk (13085) on 2016年12月12日 22時42分 (#3128879)

      いやー、マネーフォワードは、自分のケツ毛の本数を他人に毎日数えて頂く的な快感もとい、メリットがありまして。。。
      今まで食ったパンの枚数を自動で数えて貰えるって、素晴らしく無いですか?

      親コメント
    • by Anonymous Coward

      家計簿アプリとか、平文で、ネットバンク、クレジットカード、公共料金のサイトとかのID、パスワード全部入力させるところもあるからね。
      もちろん流出しないようには気をつけているだろうけど、頭おかしい。

      • by Anonymous Coward

        保存はともかく、ユーザーが入力するのは平文でないと困るだろう・・・。

        • by Anonymous Coward

          任意のシード値と時間を元に算出したハッシュ値をワンタイムパスワードとして入力する場合、
          平文で入力と言えるのだろうか。

  • by Anonymous Coward on 2016年12月12日 12時51分 (#3128605)

    銀行側にOAuthタイプのAPIの実装を促して、アプリ自体には銀行のパスワード情報渡さずにすむようにすりゃいいのに。

    • by monyonyo (43060) on 2016年12月12日 12時55分 (#3128608)

      金融審議会ではそういう方向の議論がされているようですよ。

      親コメント
      • by Anonymous Coward

        マイナンバーを筆頭に、そういうセキュアな方向へは行かないのがお約束・・

        • by Anonymous Coward on 2016年12月12日 21時34分 (#3128859)

          銀行はちょっとわかんないですが、公務員業界の癖として
          「間違ったら手で直せる」ことがすげー重視されてる気がする
          結果暗号化とがでギチギチセキュアにするのは無理で、
          「こうすると手で変えられます」みたいなのが必須、になるからかなーと。

          確かに1億人からの情報扱えば例外も出てくるんだろうケド、
          例外を入れ込んでたらシステムが仕上がらんのでね…
          中途半端に取り込むのなら99.999%の自動化と手作業にしたほうがいいんかもしれん

          そしたら結局セキュアとは言えないか…

          親コメント
  • by Anonymous Coward on 2016年12月12日 13時03分 (#3128610)

    情報銀行の胡散臭さは半端ねーがあまりに秘密主義なんでスラドでもコメント付かないからな
    東大だろうが論文404放置とかありえねーな

  • by Anonymous Coward on 2016年12月12日 21時45分 (#3128864)

    プライバシーとか言いながら国が全てを把握するってすげぇってかひでぇなおい

    • by Anonymous Coward

      そうでしょうね。

      関連機関からの情報開示要求に対し、適切な(その定義は言ってない)フィルタリングがされた情報を提供できること、という要件という名のバックドアができる、と。
      無論、その運用は、私が適切だと判断したから適切だ、みたいな個人のさじ加減で決まるのでしょうな。

typodupeerror

ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ

読み込み中...