2010年2月1日(月曜日)
Filezillaのアカウント情報は簡単に読める
公開: 2010年2月2日15時35分頃
「FTPクライアントのアカウント情報を盗むマルウェアに注意 (slashdot.jp)」。
FTPクライアントの……と言いつつ、#1711812のコメント (slashdot.jp)周辺を見ると、Filezillaのアカウント情報も取られるらしいですね。Filezillaでのアカウント情報の保存方法は非常に力強い感じで、c:\Documents and Settings\(username)\Application Data\FileZilla\sitemanager.xml にこんな感じで書かれています。
<Server>
<Host>bakera.jp</Host>
<Port>21</Port>
<Protocol>0</Protocol>
<Type>0</Type>
<User>testid</User>
<Pass>testpass</Pass>
……
</Server>
XMLのPass要素の中に、パスワードが難読化も何も無しにそのまんま書いてありますね。まあ、難読化してあれば安全というわけでもないので、これ自体の是非は何とも言えませんが……ともあれ簡単に読めることは間違いありません。
※Filezillaは素のFTP以外にもSFTPやFTPSにも対応していますが、これらを使用していてもアカウントの保存方法は同じです。
だからFilezillaではパスワードを保存しては駄目……という主張もありえるでしょうが、そもそも通信を盗聴するとか、キーロガーでキー入力を読み取るといった手法もあるわけでして。そう考えると、「マルウェアに感染したら駄目」という当たり前の話になってきますね。
- 「Filezillaのアカウント情報は簡単に読める」へのコメント (6件)
メールアドレス間違いができないような仕組みが欲しい
公開: 2010年2月2日15時15分頃
「ｉＴｕｎｅｓ、ＩＤなりすましの恐れ アップル社調査 (www.asahi.com)」。見出しの割に、本文で言っている事例は、意図的に誰かに「なりすまし」できるわけではないように思いますが……。IDなりすましもそれはそれであるらしいとも聞くのですが、また別の話なのではないかという感じがします。
ともあれ、興味深いのはこの話。
一方、愛知県の男性は昨年末まで約２週間、ｉＴＳ上で、神奈川県の男性の利用画面に入ってしまった。
神奈川の男性がＩＤとパスワードを登録する際、同じ名字の愛知の男性のメールアドレスを自らのＩＤとして誤入力した。そのＩＤがメールのあて先となったため、登録完了通知などのメールが愛知の男性に送信された。
愛知の男性が受信メールを基にパスワードを変えると、神奈川の男性のクレジットカードで買い物ができる状態になった。ただ、愛知の男性が神奈川の男性に連絡をとり、ＩＤとパスワードを直した。
登録時に他人のメールアドレスを設定してしまったためにログインできなくなり、その状態でパスワードリマインダを使ったりしたら……それはまあ、乗っ取られますよね。しかしそもそも、他人のメールアドレスで登録できてしまうのがおかしいような……。
ネット専業を含む国内５０２社が加入する日本通信販売協会によると、通販サイトのパスワードを変える際、本人確認の仕方には統一した決まりはないという。ＩＤにメールアドレスを使う場合は、入力を間違えないのはもちろん、プロバイダー変更などでアドレスが変わったときは、登録したＩＤも必ず変えてほしいとしている。
実際、「メールを受け取れるのは本人だけ」という前提でパスワードリマインダの仕組みが設計されているケースは多いでしょう。その場合、メールアドレス間違いは致命的です。存在しないメールアドレスならまだ良いのですが、それが実在すると大変なことになります。
しかし半径5メートル程度に聞いてみたところ、ITunesに関してはこんな話があるようで。
- iTunes登録時に設定していたメールアドレスが間違っているらしく、メールが受け取れない状態になっている
- 確認したら、ドメイン部分がスペルミスしていた
- 修正しようにも、方法が分からない (問い合わせするしかない?)
間違ったメールアドレスで登録できてしまう上に、一度そうなると、簡単には修正できないそうで。
メールアドレスが必須項目であるようなサービスの場合、プロフィールなどを入力させる前にまずメールアドレスだけ入力してもらって、そのメールを受信してからでないと登録できない……というような仕組みにして、メールアドレスの間違いができないようにした方が良いのかもしれませんね。
※しかし、ユーザ登録フローを作り直すのは大変だという理由で「メールアドレス入力欄を2個に増やす」という対応が行われたりするオチが予想されます。:-)
- 前(古い): 2010年1月31日(Sunday)のえび日記
- 次(新しい): 2010年2月2日(Tuesday)のえび日記
