ゲームへのログインに関して

[vbsnbk]

スクエニで使用しているのはVASCO製品で、RSA（現EMC）の製品じゃないし、VASCOとRSAは競合会社のはずなのでRSAへの特許料は発生しないんじゃないかな？
ただし、仰るとおり１デバイスあたりいくらだと思いますけど、DIGIPASS GO 6のうたい文句に"価格が手頃"らしいので、安いのかも知れません。

なるほど。
ただRSAは暗号化関連の基礎特許がっちり押さえてる「知る人ぞ知る」系の企業なので、競合だからと
言ってRSA freeとは限らないんでしょうけどね。

トークン式を採用する代わりに乱数表形式の簡易的なワンタイムパスワードのカードを用意してるところも
ある（某都市銀行とか……。でもそこもトークンをオプションで用意して、併用可能にしていたりするところを
見ると、やっぱり安全確保としてはトークン式がベストなんでしょうね）んですが、あれはあれで
トークンで使える「キーホルダーにぶら下げて常に持ち歩き、さっと取り出して使用する」というのが
出来ないで、カード入れから取り出さざるを得ない分だけ面倒なんですよね。

[Minna]

なるほど。
ただRSAは暗号化関連の基礎特許がっちり押さえてる「知る人ぞ知る」系の企業なので、競合だからと
言ってRSA freeとは限らないんでしょうけどね。

まぁその暗号化の一部は、既に盗まれたことがあるようですけどね・・・。一部なので影響は小さかったとかなんとか。

トークン式を採用する代わりに乱数表形式の簡易的なワンタイムパスワードのカードを用意してるところも
ある（某都市銀行とか……。でもそこもトークンをオプションで用意して、併用可能にしていたりするところを
見ると、やっぱり安全確保としてはトークン式がベストなんでしょうね）んですが、あれはあれで
トークンで使える「キーホルダーにぶら下げて常に持ち歩き、さっと取り出して使用する」というのが
出来ないで、カード入れから取り出さざるを得ない分だけ面倒なんですよね。

しかもカード型符号キーは記憶力があれば暗記できるっていうおまけ付きですよね。元素記号を116まで覚えるより簡単ですから。

ちょっとスレチになってきたんで私からの案。
今のワンタイムトークンでも結構十分な気がしますが、そこから一歩踏み込んで、よくシェアウェアとかであるライセンスファイル的な
その人だけの秘密鍵をPCに設置し、プログラムはそれを読みとり識別するというのはどうだろう？
SSHの秘密鍵/公開鍵と言えば、わかる人には解るかな？

なので
第一段階：
　　　　　秘密鍵/公開鍵によるSecureなログイン
第二段階：
　　　　　第一段階＋ワンタイムトークンで更に堅牢化

という感じを想定。ただ欠点は・・・ロドストやフォーラムのようなWebには対応できないかとは思いますが、
それよりも大事なゲームの方には、上記の案は結構Secureになるんじゃないかなと思う。

[vbsnbk]

まぁその暗号化の一部は、既に盗まれたことがあるようですけどね・・・。一部なので影響は小さかったとかなんとか。



しかもカード型符号キーは記憶力があれば暗記できるっていうおまけ付きですよね。元素記号を116まで覚えるより簡単ですから。

その通り。だからあれはあくまで「簡易的な」OTPなんでしょうね。「トークン買いたくない」って人に標準で押しつけるにはコストが低くて
良いんでしょうけど、トークンに代わるものでは無いでしょうねえ。

ちょっとスレチになってきたんで私からの案。
今のワンタイムトークンでも結構十分な気がしますが、そこから一歩踏み込んで、よくシェアウェアとかであるライセンスファイル的な
その人だけの秘密鍵をPCに設置し、プログラムはそれを読みとり識別するというのはどうだろう？
SSHの秘密鍵/公開鍵と言えば、わかる人には解るかな？

なので
第一段階：
　　　　　秘密鍵/公開鍵によるSecureなログイン
第二段階：
　　　　　第一段階＋ワンタイムトークンで更に堅牢化

という感じを想定。ただ欠点は・・・ロドストやフォーラムのようなWebには対応できないかとは思いますが、
それよりも大事なゲームの方には、上記の案は結構Secureになるんじゃないかなと思う。

秘密鍵/公開鍵は堅牢なんですけど、基本的には端末認証なのでネカフェとかからだと面倒な事になるんですよねえ。
おまけにキーロガー系に代表されるマルウェアに対しては無力に近いですし。
しかも鍵の扱いはユーザに任せると「キーファイル無くした！！」「秘密鍵のパスフレーズが解らない！！」のオンパレード。
結局自分が某商用アプリ開発で通信路をSSHにしたときは、ライセンスファイルに秘密鍵を埋め込んで妥協しちゃいました。

ちなみにSSLでもブラウザ側に証明書インストールして認証は出来ますので、やろうと思えばWEBだろうが技術的には
クライアント認証可能なのですが、いわゆる「オレオレ認証局」じゃないちゃんとしたブラウザ証明書はコスト的にあり得ないですからね……。
クライアントの認証では無いゲーム内の通信経路の暗号化は既に今でもやってますしね。

[Poice]

トークンってそんなに安全ですかね？
「ウィルス対策ソフト入れてるから万全」って言ってるのと同じ危うさを感じますが

素人考えですがフィッシング詐欺にトークンは弱いんじゃないかと
スクエニアカウントのログインページを摸したサイトで・・・
（手順書きましたが悪用されたりしたらまずいかな？と思い直したので消しておきます）


「トークン使ってるから安全」と思ってる人のほうがフィッシング詐欺に引っかけやすそう

[Minna]

秘密鍵/公開鍵は堅牢なんですけど、基本的には端末認証なのでネカフェとかからだと面倒な事になるんですよねえ。
おまけにキーロガー系に代表されるマルウェアに対しては無力に近いですし。
しかも鍵の扱いはユーザに任せると「キーファイル無くした！！」「秘密鍵のパスフレーズが解らない！！」のオンパレード。
結局自分が某商用アプリ開発で通信路をSSHにしたときは、ライセンスファイルに秘密鍵を埋め込んで妥協しちゃいました。

ちなみにSSLでもブラウザ側に証明書インストールして認証は出来ますので、やろうと思えばWEBだろうが技術的には
クライアント認証可能なのですが、いわゆる「オレオレ認証局」じゃないちゃんとしたブラウザ証明書はコスト的にあり得ないですからね……。
クライアントの認証では無いゲーム内の通信経路の暗号化は既に今でもやってますしね。

無くす方が・・・というのはおいといて。
パスフレーズの入力も無くすようにすれば良いのではないかと思うけども。pagentのように常駐で、起動時にだけパスフレーズ入力って感じで。
メモリ解放処理が結構キモになりますがね。今のスクエニに出来るとは思えない・・・。だって現行クライアントでもメモリ解放できていないんだもの。

まぁ鍵認証以外で言うとあとは・・・USBドングルか。しかしこっちはコストが結構かかりそうなんですよね。
しかもトークンと並行使用すると、持ち歩くモノが二つに増えるという罠。

どこかに妥協しなければいけないでしょうね。

[追記]
いっそのこと指紋認証にするか！
罪歴ある人の場合、Ｋの人が入り放題になるかも知れないけど！

某古いアニメのようにボイスパスワードってのも有りかも知れない。風邪の時はシラン！
もちろん、クライアントの表示はポイスパスワードですよね。

あぁ・・・だんだんWeb系が無理な案ばかりに（汗

[Minna]

トークンってそんなに安全ですかね？
「ウィルス対策ソフト入れてるから万全」って言ってるのと同じ危うさを感じますが

素人考えですがフィッシング詐欺にトークンは弱いんじゃないかと
スクエニアカウントのログインページを摸したサイトで・・・
（手順書きましたが悪用されたりしたらまずいかな？と思い直したので消しておきます）


「トークン使ってるから安全」と思ってる人のほうがフィッシング詐欺に引っかけやすそう

"今のところは"安全です。
トークンを発生させる暗号ルーチン、また処理するサーバー側のエージェントのソースが流出しない限りは、非常に堅牢ですよ。

フィッシング詐欺で得られるのは、「ユーザー名、パスワード、"その時の"トークン」の３つ。この中で使えるのはユーザー名とパスワードのみ。
しかしサイトにはトークン必須としておけば、第３者（フィッシング詐欺の首謀者）からのログインは不可能。だって得たトークンは既に無効だから。


ただし、ウィザード級の技術とスパコン級の処理が可能な端末があれば、暗号化ルーチンを解析することは可能かも知れません。
まぁいわゆる鼬ごっこってやつですね。

少し前までの無線LANの暗号化（WPAとかWEPとかのアレ）と同じです。
今の技術でこれら無線LANの暗号化はものの10分もあれば解除可能ですからね。

[Minna]

素人考えですが以下じゃだめですか？（すぐ消します）
<snip>

６～８間を１分以内にやらなければなりませんね。メールの送受信ラグも含めると30秒あるかないか・・・。
現実的ではないと思います。

通常のフィッシングであれば、６の内容をあとからごゆるりと料理する程度ですから・・・。

[訂正]
大抵１分だと思って今試したら、FF14のトークンは30秒で切り替わるっぽい。
ますますダメだｗ

[Poice]

６～８間を１分以内にやらなければなりませんね。メールの送受信ラグも含めると30秒あるかないか・・・。

ログインできてしまえばあとはトークン入力要りませんからログインさえ済んでしまえば被害者が罠サイトで順番待ちしてる間にゆっくり料理できるでしょう。

リアルタイムで被害者待ち、並行作業させたい場合その分ＰＣが必要となるので割にあうかはしれませんが。トークンを過信し業者を甘く見てはいけないと思います

追記）手順６～８っていうのが曖昧だったので

[Matthaus]

リアルタイムで被害者待ち、並行作業させたい場合その分ＰＣが必要となるので割にあうかはしれませんが。トークンを過信し業者を甘く見てはいけないと思います

たかがトークンと思われている節がありますが、
過信するのは良くありませんが、スクエニが採用しているトークンが、
世界的にどれほど採用されていて信用されているか、
一度確認された方が良いかと思います。

決して安物のおもちゃじゃありませんよ。

もしこれが破られると、世界規模での大問題になります。

一番恐いのは、自分はトークンを使わなくても大丈夫、
と言う過信だと思います。

[Poice]

絶対に破れない暗号強度だったとしてもそれを迂回する手段なんていくらでも出来ます
要はその瞬間のトークンの表示を被害者に入力させるだけでいいのですから

私みたいな素人でも抜け道を考えられるくらいですから本職ハッカーだったらもっと手が込んだことできそうです。
先に上げたフィッシング以外にも木馬なんかも有効でしょう。寝釣り/寝合成ツールに忍ばせる　なんてのもありかと。

しつこいくらいの啓蒙活動と何重にもかけられるセキュリティが必要かと思います。
トークンだけではそのうち被害でるんじゃないかと思ってますが、どうなりますかね