よしなしごと2019-07-12サービス毎のランダムなパスワードは二段階認証を不要にするか元ネタは以下。サービス毎に乱数でパスワード設定できている人にとって、2段階認証は不要。今問題となっているのは、そういう利用者ばかりとは期待できないサービス事業者側の自衛策としての必要性なの。そんなこともわからないで何がセキュリティー専門家と言えるのか。2019この主張に対して、私を含め多くの反対意見が述べられています。高木先生はこれらの反対意見に逐一対応しておられますが、本記事ではこれらについて解説します。端末を落としたらどうするの?で、パソコンやスマホ本体落としてそこから乗っ取られると。うっかりフィッシングサイトに引っかかったあと気づかないうちに乗っ取られてると。いう人想定してサービス設計しないといけないんだから、そりゃ大変だ。2019https://t.co/4R7ZJkGMNk意味不明。乱数パスワードは自動入力なのでフィッシングに影響されない。端末は紛失しないし紛失しても安全なロックがかかっている。(※「セキュリティ業界」の人の話である点注意。2019一切のロックを設定していない端末を落とした場合、その端末でメールを受信できる可能性が高く、パスワードリセット等が行われる可能性があります。端末内のCookieでログイン状態を維持しているサービスについても侵入される可能性があります。一方で、これらは端末をロックするというごく一般的なセキュリティ対策によって防ぐことが出来ます。いった意味で氏は「紛失しても安全なロックがかかっている。*1」と返答したと思われます。フィッシングの被害に遭うのでは?で、パソコンやスマホ本体落としてそこから乗っ取られると。うっかりフィッシングサイトに引っかかったあと気づかないうちに乗っ取られてると。いう人想定してサービス設計しないといけないんだから、そりゃ大変だ。2019https://t.co/4R7ZJkGMNk意味不明。乱数パスワードは自動入力なのでフィッシングに影響されない。端末は紛失しないし紛失しても安全なロックがかかっている。(※「セキュリティ業界」の人の話である点注意。2019フィッシングとは、正規のサイトに似た偽サイトを用意し、偽サイトであると気づいていないユーザが入力したIDやパスワードを盗むことです。それを目的として作られたサイトのことをフィッシングサイトと呼んでいます。フィッシングサイトは正規のサイトに似せて作られるため、その中身だけを見て違いを区別することが出来ないということになっています。中身は同じであってもURLまでを同じにすることはできないので*2、URLを見て判断することで正規のサイトを見抜くことが出来ます。パスワードをブラウザに記憶させておけば、ブラウザは正規のURLである場合にのみパスワードを自動入力するので、フィッシングサイトの被害は受けません。ここからは蛇足ですが、そもそもフィッシングサイトに騙される人はフィッシングサイトに二段階認証を試みるので、攻撃者はそれを用いて不正にログイン等できるでしょう。二段階認証はフィッシングの対策にはならないというのが私の考えであり、おそらく一般的な考えです。二段階認証は不正ログインを通知する役割があるので不要ではない?これは同意しかねる。SMSなどでメッセージを返すコールバックタイプの二段階認証は、「検知と通知」も兼ねるので、不要ではない。二段階認証を使うことがおすすめできない場合も勿論ある。それは、Facebookのように、二段階認証用の電話番号をそれ以外の目的で他人が検索できてしまう場合。2019https://t.co/DZVBtrZ464意味不明。乱数パスワード(の自動入力)は破られることが(なく正規サイトにしか送信され)ないので「検知と通知」とか意味不明。使ってる人の感想が述べられているだけで必要性の原理を理解していない。2019一部のサービスは、二段階認証の一段階目が完了した時点で利用者に通知を行っています。これにより、利用者はパスワードの漏洩を知ることが出来るので、パスワードを変更する契機となります。一段階目が絶対に破られないのであれば、そもそも通知は行われません。「乱数パスワードは絶対に破られない」という前提下(これは普通正しい前提)において、通知はただ鬱陶しいだけになります。2019https://t.co/J76YubGAQO意味不明。当該サービスから漏れる状況はもはやどうともならない上に、他のサービスは別のパスワードなので影響することはない。2019パスワードは、それが強固であるか否かに関わらず漏れるときは漏れます。パスワードが漏れるようなサービスは、攻撃者によって既に掌握されていると考えるのが普通です。よって、もしそのサービスに二段階認証を設定していたとしても、それによって守られるものは何もありません。他サービスには別のパスワードを設定しているので、他サービスで二段階認証を設定しているか否かに関わらず影響はありません。某Payのアレはパスワードリセットが原因なので、パスワードだけに頼らない方がいいのでは?補足させていただきますと、ご存知とは思いますが、今回の7Payの事件は、「パスワードリセットのための情報の漏洩」が疑われています。2019https://t.co/cQHmvwKeCfそんなサービスは使った時点で負け。このスレッドは、「セキュリティ業界」の専門家が自らは二段階認証を設定しないで何かを使っている一方で金融サービス事業者に対して二段階認証が全ユーザに対して必須と主張することは矛盾しないことを指摘しているものである点に注意。2019某Payはパスワードリセット周りが原因でアレなことになっているという意見があります。そのため、パスワードだけに頼った認証は危険なのではないか、という反対意見です。これはある意味正しいかもしれませんが、一般的には間違った意見であると言えます。「もし某Payがパスワードだけに頼らず二段階認証を必須としていれば被害は発生しなかった」という点では、それは正しいかもしれません。一方でこの問題はサービス固有の問題であり、そんなサービスに実装された二段階認証は普通信用できません。パスワードリセット周りの問題は、内部を知らない一般のユーザであってもセキュリティ上の問題を指摘できるレベルのものであり、それを知り得るユーザにはサービスの利用をやめるという選択肢があります。二段階認証を設定してまでそんな危険なサービスを利用し続ける必要はありません。信号も黄色で止まるし、自賠責だってあるんだから自動車の任意保険なんてお金の無駄」と言ってるようなもの。今回の7IDの不正利用、「パスワード使いまわしせず、チャージパスワードも独自パスワード使ってた人も被害にあってる」のに。2019ちゃんとパスワードを設定していても被害に遭うようなサービスは、二段階認証を設定したとしても被害に遭うでしょう。SSLなど他の部分にある脆弱性も気にするべきでは?さすがに言い過ぎだと思う。先日のSSL脆弱性のように、正規のサーバーに正規の手順でパスワードを送ったとしても、それを覗き見られるリスクは実際に存在する。他にもSSLを中継するアンチウイルスソフトとか。その際に、「誰かがログインを試している」というアラートには十分な意味がある。2019そもそも他の部分にある脆弱性を気にするのであれば、それによる被害が二段階認証によって防げる状況は限定的です。最初に二段階認証を設定する際のQRコード等が傍受されているかもしれないし、認証後のセッションを奪われるかもしれません。そのような脆弱性を気にするのであれば、二段階認証以外の手法について考えるべきでしょう。パスワードの管理方法によっては二段階認証は意味があるのでは?言ってることは確かにその通りだと思うけど、その「サービス毎に乱数でパスワードを設定」を実現する手段が1Passwordとかだとすると、2段階認証は効果があるように思う。それが人間の記憶能力で実現できるなら確かに2段階認証は不要。2019https://t.co/sK2h174Sox「サービス毎に」「二段階認証が不要」と言っている話だということくらい読み取れよ。2019これは私自身が投げた反対意見と、それに対する返答です。教科書等には「サービス毎にランダムで強固なパスワードを作りましょう」と書かれてることがありますが、それを人間が自力で全部覚えるのは不可能であることは分かると思います。上の高木先生の「乱数パスワードは自動入力なので」という言葉からも分かる通り、「セキュリティ業界」の専門家であったとしてもパスワードはiCloudキーチェーン等のツールに記憶させています。なると、当然ながら「パスワードを記憶させている先」のセキュリティについて考える必要があります。あのAppleが作ったiCloudであっても、それを盲信することはできません。iCloudは、正しく設定されている場合において、転送中も保管中も本人以外がパスワードを読み取ることはできないと説明されています。これを前提とすると、Appleのサーバに保存しているパスワード(サービス毎のランダムなパスワード)は流出し得ないと言えます*3。iCloud自体のログインでは二段階認証が行われるので、iCloudのログインパスワード*4が漏れたとしても、直ちに問題は発生しません*5。最後に高木先生のツイートは以下を意味していると私は認識しています。最初の高木先生のツイートは以下のツイートに関する返答です。2019高木先生の主張はあくまでも「セキュリティ業界でも二段階認証を使用していない人がいる」という発言に対する反論であって、「一般の人でもサービス毎の二段階認証は不要」と言っているわけではありません。そもそも上の結論は例えば以下の前提が含まれています。正しく「乱数でパスワード設定」が出来る端末にはロックをかける等の基本的な対策を行っている二段階認証の有無に関わらずセキュリティ的に問題のあるサービスは使わないという判断ができる「充分なリテラシーを持った上で基本的なセキュリティ対策を行っているのであればサービス毎の二段階認証は不要」という主張であり、前提となる「充分なリテラシー」や「基本的なセキュリティ対策」が欠けている一般人には適用できない話ということです。日常的に本記事にあるような内容を意識してインターネットを利用する利用者は、私を含めてそう多くはないと思います。そのような利用者が単に「二段階認証は要らない」という認識だけを持つのは危険です。今まで何も考えずにとりあえず二段階認証を設定していた私のようなユーザは、今後も二段階認証を使い続けていくべきでしょう。一方でフィッシング等の二段階認証では防げない被害については、各自が勉強してリテラシーを高める必要があるでしょう。08:00サービス毎のランダムなパスワードは二段階認証を不要にするかTweetもっと読むコメントを書く2018-09-15自然言語処理を学ぶのにオススメの本これから自然言語処理を学ぶ方にオススメの本を紹介する記事です。自然言語処理の研究室に配属された学部生をメインに想定していますが、それ以外の方でも参考になると思います。見る自然言語処理が対象とする多くのタスクを分かりやすく解説しています。手法についても簡単にですが触れています。ほとんど数式を用いずに説明*1しているのが特徴で、読む上で必要な前提知識はほとんどありません。単行本この商品を含むブログを見るこれから自然言語処理の研究を始めるのであれば必ず読んだ方が良い本です。順番に広域なテキスト解析について説明し、後半は情報検索や機械翻訳などといった具体的なタスクについて説明しています。上で紹介した本に比べれば多少は難しいですが、当時学部3年の私がこの本を参考に研究室で勉強会が出来たぐらいなので、特に問題はないと思います。ところで「この本は持ってないけど下の緑の本は持ってるよ」という方がおられるかもしれません。とほとんど同じです*2。発行年が異なるので、ニューラルネットワークに触れられていない等の違いはありますが、どちらにせよ他の本で学ぶことになるので大した問題ではありません。見るこれはあくまで自然言語処理というよりは機械学習の入門本なのですが、もはや自然言語処理の世界で機械学習は当たり前になっている*3ので、学んでおくべきだと思います。上で紹介した2冊とは違って基本的な確率統計などを前提知識とするので、さっぱり分からないということであれば、大学の教科書で復習なり予習なりしましょう。数式が読めてそれをプログラムに落とし込む力があれば、割と簡単に実装できるので楽しいです。時間があるのであれば、実装しつつ読み進めてもいいかもしれません。見る「機械学習の次はディープラーニングかよ」と思われるかもしれませんが、もはや自然言語処理の世界でディープラーニングは当たり前になっている*4ので、学んでおくべきだと思います。以下のようなことを日本語で学べます。mechanism)特定のツールやライブラリのための本ではなく、上のようなことを日本語でしっかり説明している本は、私が知る限り本書しかありません*5。ディープラーニングを日本語本で学ぶなら他に選択肢はないでしょう。注意点とすれば、言語処理においてこの手の分野はまだ歴史が浅く、専門用語の日本語訳が浸透していません。「符号化器」や「注意機構」と言っても相手に通じない可能性があります。attentionなど)も一緒に覚えておくことをオススメします。最後にこの記事は私が本当にオススメできる本のみを紹介しているので網羅性はかなり低いです。多くの本に関する情報を知りたい場合は以下のサイトを参考にしてください。(小町研)本ではないですが、自然言語処理やその周辺の実践的な問題を集めた問題集として「言語処理100本ノック」というものがあります。独学で進めるのは難しいかもしれませんが、答えになるようなコードはググれば出てくるので参考になると思います。www.cl.ecei.tohoku.ac.jp「こんないい本・サイトがあるよー」という方はぜひコメントください。*1:出てくるには出てきますが、小学生でも分かるような式とlogが出る程度*2:どちらも黒橋先生が著者。緑の方は放送大学の教材ということもあって構成が異なる。*3:決して機械学習を使った研究を勧めているわけではありません。先行研究を調べる上で必要になりますし、自分の研究を進める上で一度は「これ機械学習だとどうなるだろう」というようなことは考えるべきでしょう。批判するためにも必要です。*4:決してディープラーニングを使った研究を勧めているわけではありません。先行研究を調べる上で必要になりますし、自分の研究を進める上で一度は「これディープラーニングだとどうなるだろう」というようなことは考えるべきでしょう。批判するためにも必要です。はてなブログPro知ってること、知ったことを適当に書く。電気と情報の狭間に住む。月別アーカイブスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。