ゲームへのログインに関して

[Kalashnikov]

IDが漏れて1/1000000の数字を当てられる可能性だとか
キーロガーがしかけられて、IDとパスが漏れて、さらに1/1000000の数字を当てられる可能性だとか
そういう話をするならば、プレイ中に自分に隕石が落ちてくる等のリスク対策もしないとですねｗ

100万分の1というのは、「あなたのアカウントが詐取されることがない」ためにはそれなりに小さいですが、
「誰かのアカウントが詐取されることはない」ためには大きすぎます。
攻撃する人からすればピンポイントであなたのアカウントを詐取するのでなく
なんでもいいから詐取できればいい場合もあるのです。

仮に以下の前提の場合を考えます
前提1) パスワードがワンタイムで100万通りしかないことが分かってる
前提2) パスワードを1時間以内に3回連続で間違えるとロックされる
前提3) 有効なID1万個のリストを持っている
有効なIDはスクエニアカウントを取る際に重複チェックがありますから、
「重複チェックにひっかかるもの」が有効なIDです。
ここで、あるワンタイムパスワードを1秒に1回、1万個のうちのIDのうち1個に順に試すことを考えましょう。
それぞれログインできる確率は1/100万の確率ですが、1秒1回ですと1日に86400回試行できます。
1/100万で86400回試して全部外れる確率は、(999,999/1,000,000)^86400 = 0.917227227
91.7%の確率で全部外れますが、恐ろしいことにたった1日で8.3%の確率でどれかはあたってしまいます。
あるIDについては10000秒に1回しか試さないのでロックされることもありません。
事前にIDが漏れている必要はありませんし、キーロガーを仕込む必要もありません。
単に100万通りしかないパスワードというのは弱すぎるんです。
そういうのをするならワンタイムトークンで15桁くらいの数字を入れる必要があるかと思います。

[Zhar]

有効なIDはスクエニアカウントを取る際に重複チェックがありますから、

ああそうだ、確かにそうですね。私も甘いな(´д｀)
というワケで、いいね押しましたが、心情的にはあと100万回位押したいｗ

[Kalashnikov]

仮に以下の前提の場合を考えます
前提1) パスワードがワンタイムで100万通りしかないことが分かってる
前提2) パスワードを1時間以内に3回連続で間違えるとロックされる
前提3) 有効なID1万個のリストを持っている

次に、パスワードがある場合について考えましょう。
前提4) 各IDはそれぞれパスワードを設定している
この場合、パスワードがあるため、単純に有効なIDをなめていくだけではダメで、
何かのパスワードを一緒に送信しないとダメです。
この時点で、推測困難な十分「よい」パスワードを設定している人はほぼ安全であることがわかります。

仮に適当なパスワード（「password1234」とか「IDと同じ文字列」などの安直なものです）を順に試したとしましょう。
たまたま安直なパスワードを設定しているアカウントにあたった場合でも1/100万の確率でしかログインできませんし、
攻撃者からするとパスワードが違うのかワンタイムトークンにより弾かれたのか分かりませんのでだいぶ攻撃が成立しづらくなります。
スクエニはわざわざ余分なコストをかけてワンタイムトークンを導入することにより、
そのような自己責任で安直なパスワードを指定する人をもなるべく保護しようとしているとも言えます。

※ただし、安直なパスワードを指定する人が一定数いることは知られているので、
安直なパスワードを設定している人に限ってはこのような攻撃をされたら早晩クラックされる可能性があります。
なんにせよ、あなたの安全のためにパスワードには十分長く、推測しづらい文字列を指定すべきです。

[Marino]

単に100万通りしかないパスワードというのは弱すぎるんです。
そういうのをするならワンタイムトークンで15桁くらいの数字を入れる必要があるかと思います。

なるほど。すごく納得しました。しかも、解りやすい説明なので、
これ以上の議論の余地もないですね。

技術者というのは、時に難解な説明を第三者にしがちで、
比喩を使うにしても、それが妥当かどうか微妙な感じになることがありますが、
すごくよく解りました。

[kenyblack]

私は、ＩＤ、パスワードとも、ソフトキーボードを必ず使用し入力してます。
クリップボードは結構危険なので。
この２点が盗まれた瞬間、トークンは上でも記述されてる通り、「単なる数字の羅列」ですから。

まあ、キーロガーにせよ盗む側も「たかがゲームのＩＤを盗む」ことに、
そんな労力をかけないから、ＦＦ１４なら盗まれることは無いだろうけど。
よほど恨まれてて、個人を特定しての嫌がらせ以外は。