Suite」において、一部パスワードを14年間平文で保存していたことを明らかにしました。Cloudのブログ上での発表パスワードを平文で保存することはGoogleのポリシー違反となりますが、不正アクセスや悪用されたことはないという事です。Suite向けに提供していたツールにユーザの設定を行う機能があり、この中でパスワードをそのまま平文で保存していたということのようです。この機能は既に廃止されています。おすすめ記事パスワードの保存方法について認証に使用するだけで元の文字列を知る必要のないパスワードについては、通常ハッシュ化してDB等に保存します。ハッシュ値から元の文字列を得ることは出来ませんので、元のパスワード文字列の推測はとても困難になります。パスワードが「hogefugapassword」という文字列だったとします。このパスワード文字列をsha256などハッシュ関数でハッシュ化すると以下のようになります。sha256でハッシュ化5665d42d15514eee62c9d62845ec4308e4a98e51b6f8d069da9893df10663343このハッシュ化して得られたハッシュ値「5665d42d15514eee62c9d62845ec4308e4a98e51b6f8d069da9893df10663343」をDB等に保存します。認証はユーザの入力した文字列を同じハッシュ関数でハッシュ化してDBに保存されたハッシュ値と比較して行います。ユーザが間違って「hogefuta」と入力したとします。DBに保存されたハッシュ値と比較5665d42d15514eee62c9d62845ec4308e4a98e51b6f8d069da9893df10663343DBに保存されているハッシュ値と異なるので入力されたパスワードは間違いということが分かります。ハッシュ値被りの可能性もありますが確率的にかなりの低確率です。(MD5とかだとちょっとまずいかもしれませんが)もちろんハッシュ値を得るためのハッシュ関数はsha256とは限りません。システムの設計者によって他のハッシュ関数や様々なハッシュ関数の組み合わせを使用したりします。この場合DB上のハッシュ値から元のパスワードの割り出しは困難ですので、ユーザがパスワードを忘れた場合の対処方法はパスワードをリセットして仮設定して、ログイン後再設定してもらうようなシステムになります。元のパスワードの文字列を知らないといけないようなシステムはあまり多くはありませんが、その場合はパスワードを暗号化キーを用いて暗号化してDB等に保存します。その場合、DBの暗号化されたパスワードと暗号化キー、暗号化方法がバレると元のパスワードが復元できてしまいますので情報の管理には注意が必要です。Suiteのサービス向けのツールでパスワードをハッシュ化して保存していなかったことは驚きです。ネット上のサービスでも初心者が設計したシステムでは、設定したパスワードをそのまま保存しているものがそれなりにあると聞きます。設定したパスワードをハッシュ化して保存しておき、認証で入力されたパスワードのハッシュ値と保存されている値を比較するだけですので、システムを設計する人はちゃんと対応しておきましょう。...WordPressのセキュリティ対策についてこのアカスブログはWordPressというブログシステムを利用しています。...プログラミングに必要な力は大きく3つプログラマーがプログラミングを行う上で必要になる力は大きく3つあると思います。...このアカスブログは全てリンクフリーです。無断リンクして頂いて全く問題ございません。(※転載は禁止)相互リンク希望の方は「お問合せ」かTwitterのDMにご連絡ください。