twitterまとめ7payの続きmala@bulkneetsフォローする検証に必要な情報は出揃ってるので、脆弱性の詳細は三上洋さんが解説してくれます。我々はそれを待っていれば良いんです。16:28mala@bulkneetsフォローするセブンペイ関連でまともなのは鈴木淳也さんという人の記事で、浅川直輝の株は大暴落していて、三上洋はいつもどおりです。正憲@masanorkフォローする登録から1時間も経たずに乗っ取られてる人もいるようで、リスト型攻撃やセッション乗っ取りで説明しづらいのは確か。Takagi@HiromitsuTakagiフォローする「登録から1時間も経たずに乗っ取られてる人」が存在すること自体からリスト型攻撃が否定されるとは思えない。リスト型攻撃なら事前にログインできるアカウントを把握済みで、ずっと自動的に監視していたことも考えられる。Takagi@HiromitsuTakagiフォローする「自動的な監視」は、例えば、例のAPIで落ちてくるレコードをウォッチしていたら、7payの利用開始登録、カードの登録の状況pを把握できたのではないか。今も7pay使えてる人は例のAPIで何が落ちてくるか確かめてほしいな。Takagi@HiromitsuTakagiフォローする報道では痒いところに手が届いていないので、今日のNHKニュースに出られた被害者の方に追加インタビューしたところ、新情報として以下のことが確認できました。・パスワードはキーボード配列ではない。・メールアドレスはspamの来ない非公知のものだった。Takagi@HiromitsuTakagiフォローする...再ログインが必要となっていた。・そのタイミングは出し子が利用した後だった。・アカウントにはomni7のアカウントが元々あったのを用いた。・アカウントパスワードはセブン-イレブンアプリを使用していた頃に変更して使用していたもので、7pay登録後に変更したものではない。Takagi@HiromitsuTakagiフォローするなお、既知の情報として以下。・パスワードは16文字で、チャージパスワードは別のもの。・パスワードリセットの通知メールは来なかった。Takagi@HiromitsuTakagiフォローする「パスワードは対称鍵暗号である」というのは変じゃないか?gigazine.net/news/20190712-...「「なぜパスワードよりも単純なPINコードがパスワードよりも安全なのか、疑問に思うかもしれません」その答えは、「パスワードは対称鍵暗号(共通鍵暗号)である一方、PINコードはそうでないため」とのこと。2.0かという話ですね。いやいやそうじゃないですよ。「FIDOだから」じゃ理由になってないし、ローカル認証はパスワードでもいいところなぜパスワードでなくてPINで足りるのかの説明が求められているわけで、Microsoftが言おうとしていることは正しい。私がおかしいと言ったのは「共通鍵暗号」と説明された点のみ。いや、「ローカル認証はパスワードでもいいところなぜパスワードでなくてPINで足りるのか」は、Microsoftも説明してないか。いう話をしているわけではなくて、PIN(数字4〜6桁)でOKということ(なぜパスワードのように長くしなくていいのか)が世間には理解されていないから、Microsoftが説明しているという話。Takagi@HiromitsuTakagiフォローするこの点の理解が進まないと、7pay事件を契機に「PIN(4〜6桁数字)はケシカラン」という誤ったガイドラインみたいなものができてしまいかねない。今思えば、マイナンバーカードの「パスワード」もあんなんじゃなくて、6桁PINにしておけばよかった。Takagi@HiromitsuTakagiフォローするマイナンバーカードというか、公的個人認証の署名用パスワードのこと。(2019年2月に鳥井信一さんがITmediaで書かれていた記事の参考画像が、今般のディスカッションで高木先生が想定されている「PINの概念」を直感的にイメージ伝達しやすい画像のような気がしました。連携時にパスワードと称するPIN6桁を設定。・ログアウト後のログインでPIN6桁が必要。これはリモート認証なのかローカル認証なのか?(リモートなら数字PINはよくない。そもそも必要なの?)・起動時にPINを利用するように設定可能。いいんだけど、PINで足りる理由が理由になってないよなあ。「この認証情報の取り出しには、PINの「知識」と、PIN情報が格納されている端末もしくはICカードの「所有」が必要なので、二要素認証になります。4桁の数字だけであってもセキュリティが高いといえるのです。確かに理由付けの面での説明はまだ弱いかもですね...。Takagi@HiromitsuTakagiフォローする「ログアウト後のログインでPIN6桁」と書いていたが改めて確認すると、LINE本体からの認証連携後のPINなので、強固なリモート認証が済んだ中に当たる。HelloでPINでOKとしている理由は、それだけでなく、サーバに保管しないからどこかで漏えいが起きても大丈夫ということのようだ。keyだからサーバにも置かれていて漏洩する(その結果、他の被害につながる)が、PINはサーバに置かれないから漏洩しないし、クライアントにコピーを置くこともなくTPMでハードウェア的に処理するから安全と説明している。Takagi@HiromitsuTakagiフォローするその点、上で検証したアプリは、サーバにPINを置いているようなので、こうした作り方が広まるといずれ将来的にあちこちで漏洩するようになって、PINも台無しになる。この機構は、自前で実装せず、端末の機能に任せるように実装するべきではないか。Takagi@HiromitsuTakagiフォローする4年前のコラムではその想定で書いていた。OTP認証をやめつつある話ですが、zdnetが紹介する移行先は「以前からあるワンタイムパスワード生成器」「認証アプリ」「QRコードなど画像を利用」だとか。いずれも「持っている」要素です。Authenticatorのような認証アプリが良さそうに思います。Authenticatorのような認証アプリ」を使え話は、Webのログイン(や何かしらの操作の実行)をスマホ(あるいは携帯電話)で許可する話であり、今問題になっているスマホ単体で動くアプリの話とは分けて整理しないといけない。Takagi@HiromitsuTakagiフォローするこれはPCのWebのログインをスマホと同期を取る仕組みであって、結局はAuthenticatorアプリがずっとスマホで「ログイン」状態だから働くのであり、スマホの端末が変更されるとき、Authenticatorも再設定が必要になる問題は、結局、アプリ単体の場合の端末変更と変わらない。Takagi@HiromitsuTakagiフォローするいやいや、あの記事は素人丸出しだよ。gendai.ismedia.jp/articles/-/658...「セキュリティ分野を中心とした「7Pay」の欠陥は、突っ込みどころが満載だ。...の有地浩が日本有数の専門家であるので、「7Pay」そのものについては、研究レポート「7pay騒動から学ぶべきはIDの大切さだ」などを参照いただきたい。13:38現代ビジネス@gendai_bizフォローする7Pay問題は「人災」である。正憲@masanorkフォローする電子メールやSMSといった信頼できない経路でOTPを配送するよりは、安全な経路でシークレットを共有したOTP生成器を使うのがいいってみんな分かってるんだけど、なかなか登録してもらえない&機種変更時の操作が煩雑なんだよね。Kawasaki@espresso3389フォローする結局、アカウントリカバリー問題に帰着するんだよな。一言でいうとメンドイのと、人によっては時既に遅しみたいな状況になる。matake@novフォローする結局OTPの入力を自動化してくれる1PasswordにOTP鍵管理もパスワード管理もまかせてしまい、OTPの意味とは...ってなってるなう。正憲@masanorkフォローするMFAを義務化する場合OTPだとドロップ率が高いので、デフォルトで電子メールなりSMSでのOTP配送を提供する事業者も多い。Takagi@HiromitsuTakagiフォローするこれには反対。800-63Bは、FIDO的なリモート認証×ローカル認証の分離アプローチに対応していない旧式の発想のままではないか。Secretsは、PINで足りるローカル認証と、そうでないリモート認証を区別できていないのではないか。01:03kuruel@HkSE2000フォローする7pay関係から、ふと思って使っている銀行系のワンタイムパスワードアプリの再登録について調べて居たら、三井住友銀行のアプリがゴミofゴミだった。銀行にこんなことされたら、GmailとかのOTPな認証アプリとかも警戒されて導入されなくなってしまうのでは無いのだろうか。01:28kuruel@HkSE2000フォローする銀行系のワンタイムパスワードで、銀行毎にアプリを入れさせられるのは正直嫌い。Takagi@HiromitsuTakagiフォローするChatworkもさあ、二段階認証推奨するのはいいけど、「ログイン状態を保持する」を選択しても1か月でログアウトしてしまうのやめてくれないかなあ。Webは恒久的にセッション維持しちゃダメなものという10年前までの発想に囚われてるでしょこれ。Takagi@HiromitsuTakagiフォローする大事なことを言うけど、政府がキャッシュレス社会の到来を望むなら、被害補償が当然の社会に誘導していかないと(結果的に不正検知を行うようになる)無理だと思うよ。日本は、2004年の「キャッシュカードがあぶない」(柳田邦男)にある経緯があって(預金者保護法につながったが)不信感が根強い。Takagi@HiromitsuTakagiフォローする外国赴任帰りの人からあっちではデビットカードが普通で普通に不正検知で向こうから補償されてくるという話を聞かされたけど、日本のデビットカード事情はこんな↓らしい。日本のデビットは普及率低いよね。諸外国の事情はどうなんだろう。22:52その他に気になったことはこのあたり。あさぎ@lmvleフォローするリミポの凄いところは会議中にじゃんじゃん盗まれてるところなんだよな。20:21佐々木俊尚@sasakitoshinaoフォローするわかりやすい解説。ウクライナにサーバを置いてたみたいだけど、日本国内で漫画データをアップロードしていた証拠を押収とか。