SourceハードウェアアップルITモバイルセキュリティサイエンススラドMicrosoftGoogleクラウド宇宙この議論は賞味期限が切れたので、アーカイブ化されています。新たにコメントを付けることはできません。パスワードが直接閲覧できるわけではないが、ハッシュを読まれてしまうと総当たり攻撃などによってパスワードを解読されてしまう可能性がある。可能性を言い出したらキリが無いわけですが。Coward攻撃者のローカル側で総当りを試せるので、認証失敗時のアカウントロック等で総当り攻撃を制限する方法の意味がなくなるといったところでしょうか。単純にハッシュの強度に依存することになるので、今後のプロセッサ技術の進歩により、セキュリティが弱くなる可能性がありそうです。(#2022292)ローカルで総当たり・・・つまりハードウェアを盗んでじっくりパスワードの解読が出来るってこと?まずローカルにアクセス出来るってことは・・・セキュリティ的にはあれだがw管理者権限でいつもログインしている自分は関係ないかwwwシェア親コメントRe:それは驚いた。(#2022320)ハードウェア盗まなくても、Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性があるということです(最悪リモートからも)。取得されちゃったハッシュは「攻撃者のローカルなコンピュータ」で気の済むまで解析されちゃう可能性があるってことです。今だから白状するけど、昔NEXTSTEPのNetinfoシステムも、デフォルトの設定だとリモートからアクセスできて、パスワードハッシュが取れたことがありました。ファイヤーウォールがないと、スコーンとアクセスできちゃいました。クラックコードはしらせたら、短いパスワードは解析できちゃってビビッた覚えがあります。Coward>Webアプリに穴があったり、PHPスクリプトやCGIを他者が設置できたりしたら、管理者権限なくとも、パスワードハッシュを取得されちゃう可能性があるそりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。Coward>そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・>そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。そんな単純な話で済んだら、ネットセキュリティの世界は平和になるんだろうなあ。無知って本人だけは幸せでいいですよね。XのユーザIDとStoreのIDは全くの別物ですよRe:それは驚いた。(#2022491)同じパスワードをあちこち使い回してる人が多そうなので、色々と応用が利きそうです。まあそこまで侵入できたら、ブラウザが覚えてるパスワードを狙った方が早そうだけど。そりゃそうだけどさ、大きな穴があいているのにわざわざハッシュを盗む奇特な人って・・・クラッカーは、多くは奇妙で特殊なひとだよ(^_^;)。そんな馬鹿なWebアプリ作るような場合は、もっと大きな穴があるだろうと思うよ。そんな馬鹿なWebアプリでも、今まではハッシュまでは取られることがなかったのに、Lionになってとられる可能性がでてきたので、どうよ、っていうことではないでしょうか?昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。昔のShadowパスワードが無かった時代に逆戻りしてるってことなんだけど。Mach(Darwin)のMach-Portへのアクセス権はケーパビリティベースのセキュリティをとってる。権限をしぼったりできるようになってるかもしれない。[apple.com]好意的解釈だけど...。Cowardそうだね。セキュリティーホール開いてなければbindもsendmailもhttpdもsshdも全部rootで動かしていいよね。多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド処理中...。