記事個別表示 (2904)
これは「水無月ばけらのえび日記 : ニフティのパスワードは読み出し可能」に関連するコメントです。
[2904] 当然仮定すべきでは？
soda (2005年4月30日 19時50分)
NIFTY に限らず、どの ISP でも、ユーザのパスワードを知っている／あるいは知ることができると仮定すべきでしょう。
PPP の認証に PAP を使っている ISP なら、プロトコル上クリアテキストで送るわけですから、プロトコルダンプをとれば、当然分かります。
認証に CHAP を使っている場合、CHAP の仕様上、クリアテキストを求めることができる形式でパスワードをデータベースに格納する必要があります。CHAP の場合、プロトコルダンプをとってもパスワードは分かりませんが、むしろ、より簡単な方法で、管理者はパスワードを知ることができるわけです。
CHAP の方が盗聴には強いですから、最近はむしろ CHAP を使う ISP が増えているのではないですか？
NIFTY の場合、PPPの接続手順として、PAP を使う方法を図示していますから、確かにデータベース上ではクリアテキストで保存されてない可能性もあったわけですが、セキュリティ上は、それを仮定しない方が良いと思います。
相手が ISP であろうとなかろうと、共有鍵を用いた認証を行なう場合には、管理ドメインの違う接続相手には、それぞれ異なるパスワードを用いる習慣をつけるべきでしょう。
これは「水無月ばけらのえび日記 : ニフティのパスワードは読み出し可能」に関連するコメントです。
全読: [2892]Re: 「ニフティのパスワードは読み出し可能」からのスレッド(25件)]