ゲームへのログインに関して

[Poice]

なんだかセキュリティに詳しい人が多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される

（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます


パケット解析？　トークンの仕組みをハッキング？　そんなの必要ですか？

それから一晩考えたら上記フィッシングの手法とは別に罠ツールによる木馬的なハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

[Minna]

なんだかセキュリティの専門家さんが多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される

（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます


パケット解析？　トークンの番号生成をハック？　そんなの必要ですか？

それから一晩考えたら罠ツールによるハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

１．トークン有効期間が30秒であること　（３～４の間）
２．一人だけをひっかけるならまだしも、複数人からのアクセスがあった場合、人が介在すると時間を要すること（４～５の間）
３．ネットワークにラグはつきものであること（３）

それとも寝ないでずっと通知を見張るおつもりですか？SPAMのようにパカパカ出ると思いますけど。

[Poice]

おやおやなんだか否定する根拠が苦しくなってきたようですな

１．トークン有効期間が30秒であること　（３～４の間）

ＩＤとパス、ＯＴＰのたった数百バイトを送信するのにラグが数十秒単位になるとは宇宙ステーションにでもお住まいなのですか？
（追記）本家ＲＳＡのトークンと違って時間的余裕は長めに設定してあるようなイメージがあります。残り時間の表示とかないですから。（電池切れでトークン解除しちゃったので検証できませんが）

２．一人だけをひっかけるならまだしも、複数人からのアクセスがあった場合、人が介在すると時間を要すること（４～５の間）

別に全件に対処しなくてもなんの問題もないですよね？　中国の刑務所で受刑者にｗｏｗやらせてお金稼いでるなんて話がありましたが中国人とＰＣ並べて２４時間体制にしておけばその分だけ効率があがっていくでしょう。
ログインするスクリプトも簡単に組めませんか？他ゲームでのＩＤ、パスを利用したハッキングをしてる業者が手打ちでログインをトライしてるとでも思われているのでしょうか？

３．ネットワークにラグはつきものであること（３）

これはなにを言いたいのかわかりません。詳しく教えてください

それとも寝ないでずっと通知を見張るおつもりですか？SPAMのようにパカパカ出ると思いますけど。

ちゅうごくｚ・・・。まぁ寝るときは本物のサイトにでも飛ぶように設定しておけばいいかな？

どれも否定するには弱すぎる気がしますが

少し前のポスト

"今のところは"安全です。
トークンを発生させる暗号ルーチン、また処理するサーバー側のエージェントのソースが流出しない限りは、非常に堅牢ですよ。

フィッシング詐欺で得られるのは、「ユーザー名、パスワード、"その時の"トークン」の３つ。この中で使えるのはユーザー名とパスワードのみ。
しかしサイトにはトークン必須としておけば、第３者（フィッシング詐欺の首謀者）からのログインは不可能。だって得たトークンは既に無効だから。


ただし、ウィザード級の技術とスパコン級の処理が可能な端末があれば、暗号化ルーチンを解析することは可能かも知れません。
まぁいわゆる鼬ごっこってやつですね。

少し前までの無線LANの暗号化（WPAとかWEPとかのアレ）と同じです。
今の技術でこれら無線LANの暗号化はものの10分もあれば解除可能ですからね。

先述のフィッシングの手法でウィザース級の技術やスパコンが無くても簡単抜けられるということをまだ否定されますか？


（相撲男さん風に書いてみましたｗ）

[Matthaus]

結局貴方は、このスレッドで何を求めているのですか？

自分がトークンを解除したから、他のプレイヤーにも解除して欲しいと言うことですか？
トークンを否定する方向へ導かないで欲しいです。

簡単簡単と書かれていますが、それなら貴方が簡単だと言うことを実証して見せてください。
机上の空論だけなら、誰にだって出来ますからね。

簡単と書かれていることが、実際に簡単に行えるのでしょうか？

ハッキング集団もボランティアでやっている訳ではなく、
労力に見合った見返りが得られなければ、たとえ可能でも実行しませんよ。

あれが駄目これが駄目と言われるのなら、それに代わる具体的な対応策を示してください。

それ以前に、この会社(vasco)のセキュリティが破られたというニュースを見たことがないのですが、
もし合ったのなら、新聞一面記事に載るぐらいの大事になっています。

[Minna]

おやおやなんだか否定する根拠が苦しくなってきたようですな

ＩＤとパス、ＯＴＰのたった数百バイトを送信するのにラグが数十秒単位になるとは宇宙ステーションにでもお住まいなのですか？
（追記）本家ＲＳＡのトークンと違って時間的余裕は長めに設定してあるようなイメージがあります。残り時間の表示とかないですから。（電池切れでトークン解除しちゃったので検証できませんが）

別に全件に対処しなくてもなんの問題もないですよね？　中国の刑務所で受刑者にｗｏｗやらせてお金稼いでるなんて話がありましたが中国人とＰＣ並べて２４時間体制にしておけばその分だけ効率があがっていくでしょう。
ログインするスクリプトも簡単に組めませんか？他ゲームでのＩＤ、パスを利用したハッキングをしてる業者が手打ちでログインをトライしてるとでも思われているのでしょうか？

これはなにを言いたいのかわかりません。詳しく教えてください

ちゅうごくｚ・・・。まぁ寝るときは本物のサイトにでも飛ぶように設定しておけばいいかな？

どれも否定するには弱すぎる気がしますが

少し前のポスト

先述のフィッシングの手法でウィザース級の技術やスパコンが無くても簡単抜けられるということをまだ否定されますか？


（相撲男さん風に書いてみましたｗ）

はぁ・・・返す言葉もないね。
大半の答えをMatthausさんが懇切丁寧に書いてくれてるのでそちらを参照のこと。

自身で調べようもしない人に私は何も言いません。
それにここはディベートの場ではない。相手を論破しようと思うのならMatthausさんの言うように、「トークンを使用しているにもかかわらずハックを受けた」
という事象を探してきてください。

[Matthaus]

１．トークン有効期間が30秒であること　（３～４の間）

詳しくは、トークンのボタンを押して乱数を発生させてから32秒で、
実際には、その後にキーボードを打ち送信するロスタイム？もあるので、
加害者側に残された時間は、30秒も無いですね。

さらに回線品質が保証されていないインターネットの通信では、
通信ラグは付きものですから、
被害者がトークンのボタンを押してから加害者がログインするまで、
32秒で済ますのは、現実的には至難なことだと思います。

これを簡単と言ってのける思考は、ちょっと普通じゃないですよね。

右足を下ろす前に左足を上げ、左足を下ろす前に右足を上げる、
これを繰り返せば宙に浮ける、
机上の空論ですが、簡単な事でしょう？でも実際に出来ますか？

これと同じ事だと思います。

[vbsnbk]

なんだかセキュリティに詳しい人が多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される
（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

正規のログインの場合重複ログインがカウントされますが、フィッシングサイトを用いた偽装ログインの場合、使用済みかどうかは関係有りません。
サーバ側の時計で30秒以内しか有効ではありませんので、この30秒以内（トークンを入力してから30秒でも、トークンに表示されてから30秒でも
無いことに注意、実際にはもっと短くなります）に

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

ここまで出来るかが重要です。それが出来れば原理的には可能ですね。
ただし攻撃者側がこの全てを「有効な期限」以内に実施する必要があります。これを越えれば
盗んだ認証情報は全て無効化されます。
被害者側のPCにバックドアでも仕掛けて常時監視かつ自動で14へのログインまで行えるようにしているような場合は可能ですが、
そういう場合ってまず間違いなく足が付く恐れが大きくなります（バックドアが何処にデータを送信しているかを解析されちゃう）。
それを回避する方法も皆無ではありませんが、それなりにコストが掛かります。
オンラインバンキングのように直的な金銭的利益が大きい場合はともかく、ネトゲでははっきり言って割に合わなすぎるんです。
だから私が「理論的には不可能じゃ無いけど現実的にはあり得ない」と言っている訳。

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます

これはダウト。偽装サイトから取得したOTPは正規のサーバにおいて30秒しか有効では無いので、偽装サイトで何をしようと余裕は発生しません。

パケット解析？　トークンの仕組みをハッキング？　そんなの必要ですか？

それから一晩考えたら上記フィッシングの手法とは別に罠ツールによる木馬的なハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

上記の「最大30秒以内に全てをこなすという離れ業をこなした上で、そうした苦労をクリアしても一回きりしか利益を得られない」という
状態を回避するには、パケット解析なりトークンの解析なりが必要になると言う事です。
基本的に世の中のセキュリティは全て「コストと利益の兼ね合い」で動いています。
セキュリティに掛かるコスト、セキュリティを破ることで掛かるコストと利益、これを無視しては現実世界におけるセキュリティというのは
成り立たないわけですね。

[Poice]

これはダウト。偽装サイトから取得したOTPは正規のサーバにおいて30秒しか有効では無いので、偽装サイトで何をしようと余裕は発生しません。

上記の「最大30秒以内に全てをこなすという離れ業をこなした上で、そうした苦労をクリアしても一回きりしか利益を得られない」という
状態を回避するには、パケット解析なりトークンの解析なりが必要になると言う事です。

途中までは同意ですがここから”え？”という感じです
罠サイトでのＩＤ、パス、トークン値の取得＞ログインまでの時間が３０秒かからずログインまで済ませてしまえばあとはゆっくり料理できるのでは？
なぜパケット解析やトークン解析などという話がでてくるのかわかりません。
「一回きりしか利益を得られない」って当たり前じゃないですか？　一度すっからかんにした被害者を再度ハッキングする必要はないでしょう

基本的に世の中のセキュリティは全て「コストと利益の兼ね合い」で動いています。
セキュリティに掛かるコスト、セキュリティを破ることで掛かるコストと利益、これを無視しては現実世界におけるセキュリティというのは
成り立たないわけですね。

これはセキュリティに対する意識が低すぎるのではないでしょうか？
まぁ個人的にはこんな過疎っててギルにほとんど価値のないゲームをハッキングしてどうするの？って感じですが、実際に被害者がいるわけですしその加害者がどこまで高度な技術をもっているかは未知数ですよ

[Matthaus]

まぁ個人的にはこんな過疎っててギルにほとんど価値のないゲームをハッキングしてどうするの？って感じですが、実際に被害者がいるわけですしその加害者がどこまで高度な技術をもっているかは未知数ですよ

これは、トークン利用者が被害に遭った実例があると言うことでしょうか？
トークン未使用者の被害なら聞いたことがありますが、
それが本当なら、ソースを提示して頂けますでしょうか？

世界規模の、大ニュースですので。

同じトークンを利用しているFFXIでも、トークン利用者の被害報告は聞いたことありません。

それ以前に、もっと前から同じトークンを採用していたであろう金融機関等の被害も聞いたことありませんが...

[Poice]

、
それが本当なら、ソースを提示して頂けますでしょうか？

ＲＳＡが破られたとかそういう話ではないのですが・・・

世界規模の、大ニュースですので。

同じトークンを利用しているFFXIでも、トークン利用者の被害報告は聞いたことありません。

それ以上に、同じトークンを採用しているであろう金融機関等の被害も聞いたことありませんが...

＃８０を読んだ上でこの発言をしているというのであれば返す言葉もないです。あれ以上丁寧/詳細まで手順を説明できません
こうすればトークンの仕組みを破らずにハッキングできるのでは？という可能性について話をしているのに「世界規模の大ニュース」とか・・・