前回記事:http://kerokero.org/wp/archives/1292原因が判明したそうな。流出した中に、DropBox社員のがあったその社員は、一部の顧客情報をDropBoxに保存していたその社員は流出したサイトと同一のパスワードを使っていたという物。今回の件の直接的な問題点としては個人情報をID/PASSだけでアクセスできるクラウドに置き、そのID/PASSを使い回していたという問題だ。ID/PASSだけの認証のクラウドに対して重要な社外秘のデータは置くべきではないということと、その危険性を、DropBoxが身を以て危険性を見せてくれたということである。登録されていないIPアドレスからのログインは原則として出来なくなっている。登録外IPからのアクセスがどうしても必要であれば、まずは、ID/PASSログインしようとすると、そのユーザーに仮パスワードがメールされる。その仮パスワードを入力できた場合に限り、ログインが許可される。いう認証システムがデフォルトの設定。※ちょっと違うけど、原理はこんな感じ。逆に、ここまで厳格なシステムじゃない限り、クラウドに個人情報を置くべきではないということかもしれない。ちなみに、それはそれとして、その流出したサイトとやらの、セキュリティーもちょっと気になる。なんで、平文のパスワードが漏れているんだよ。ふつう、そこはハッシュ化するだろ!そっちの方が最大級の驚きだったりして。※まぁ、その辺の対策はされてなかったほどだから、流出したんだろうけど。