ゲームへのログインに関して

[vbsnbk]

なんだかセキュリティに詳しい人が多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される
（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

正規のログインの場合重複ログインがカウントされますが、フィッシングサイトを用いた偽装ログインの場合、使用済みかどうかは関係有りません。
サーバ側の時計で30秒以内しか有効ではありませんので、この30秒以内（トークンを入力してから30秒でも、トークンに表示されてから30秒でも
無いことに注意、実際にはもっと短くなります）に

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

ここまで出来るかが重要です。それが出来れば原理的には可能ですね。
ただし攻撃者側がこの全てを「有効な期限」以内に実施する必要があります。これを越えれば
盗んだ認証情報は全て無効化されます。
被害者側のPCにバックドアでも仕掛けて常時監視かつ自動で14へのログインまで行えるようにしているような場合は可能ですが、
そういう場合ってまず間違いなく足が付く恐れが大きくなります（バックドアが何処にデータを送信しているかを解析されちゃう）。
それを回避する方法も皆無ではありませんが、それなりにコストが掛かります。
オンラインバンキングのように直的な金銭的利益が大きい場合はともかく、ネトゲでははっきり言って割に合わなすぎるんです。
だから私が「理論的には不可能じゃ無いけど現実的にはあり得ない」と言っている訳。

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます

これはダウト。偽装サイトから取得したOTPは正規のサーバにおいて30秒しか有効では無いので、偽装サイトで何をしようと余裕は発生しません。

パケット解析？　トークンの仕組みをハッキング？　そんなの必要ですか？

それから一晩考えたら上記フィッシングの手法とは別に罠ツールによる木馬的なハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

上記の「最大30秒以内に全てをこなすという離れ業をこなした上で、そうした苦労をクリアしても一回きりしか利益を得られない」という
状態を回避するには、パケット解析なりトークンの解析なりが必要になると言う事です。
基本的に世の中のセキュリティは全て「コストと利益の兼ね合い」で動いています。
セキュリティに掛かるコスト、セキュリティを破ることで掛かるコストと利益、これを無視しては現実世界におけるセキュリティというのは
成り立たないわけですね。

[Poice]

おやおやなんだか否定する根拠が苦しくなってきたようですな

１．トークン有効期間が30秒であること　（３～４の間）

ＩＤとパス、ＯＴＰのたった数百バイトを送信するのにラグが数十秒単位になるとは宇宙ステーションにでもお住まいなのですか？
（追記）本家ＲＳＡのトークンと違って時間的余裕は長めに設定してあるようなイメージがあります。残り時間の表示とかないですから。（電池切れでトークン解除しちゃったので検証できませんが）

２．一人だけをひっかけるならまだしも、複数人からのアクセスがあった場合、人が介在すると時間を要すること（４～５の間）

別に全件に対処しなくてもなんの問題もないですよね？　中国の刑務所で受刑者にｗｏｗやらせてお金稼いでるなんて話がありましたが中国人とＰＣ並べて２４時間体制にしておけばその分だけ効率があがっていくでしょう。
ログインするスクリプトも簡単に組めませんか？他ゲームでのＩＤ、パスを利用したハッキングをしてる業者が手打ちでログインをトライしてるとでも思われているのでしょうか？

３．ネットワークにラグはつきものであること（３）

これはなにを言いたいのかわかりません。詳しく教えてください

それとも寝ないでずっと通知を見張るおつもりですか？SPAMのようにパカパカ出ると思いますけど。

ちゅうごくｚ・・・。まぁ寝るときは本物のサイトにでも飛ぶように設定しておけばいいかな？

どれも否定するには弱すぎる気がしますが

少し前のポスト

"今のところは"安全です。
トークンを発生させる暗号ルーチン、また処理するサーバー側のエージェントのソースが流出しない限りは、非常に堅牢ですよ。

フィッシング詐欺で得られるのは、「ユーザー名、パスワード、"その時の"トークン」の３つ。この中で使えるのはユーザー名とパスワードのみ。
しかしサイトにはトークン必須としておけば、第３者（フィッシング詐欺の首謀者）からのログインは不可能。だって得たトークンは既に無効だから。


ただし、ウィザード級の技術とスパコン級の処理が可能な端末があれば、暗号化ルーチンを解析することは可能かも知れません。
まぁいわゆる鼬ごっこってやつですね。

少し前までの無線LANの暗号化（WPAとかWEPとかのアレ）と同じです。
今の技術でこれら無線LANの暗号化はものの10分もあれば解除可能ですからね。

先述のフィッシングの手法でウィザース級の技術やスパコンが無くても簡単抜けられるということをまだ否定されますか？


（相撲男さん風に書いてみましたｗ）

[Ashulia]

ここで話すのは、ウィルス対策ソフトを使えば安全になるし、ＯＴＰを使えばより安全になりますよというところまででいいんじゃないかなぁ・・・。（でも１００％安全ってわけではないですよって所までは必要かな？）

議論しても、ＯＴＰありの状態でハッキングされない限りはセキュリティのレベルが向上するとは思えないし、ＦＦ１４の仕組みをオープンにされて被害が広がったりしたらって素人的には思っちゃうのですよ。

それに徐々に、ＯＴＰを破る相談してるようにしか見えなくなってきてるし・・・。

セキュリティの仕組みを詳しく知りたいなら、そういった専門のサイトに行ってもらって、この話はここいらでクローズしては頂けないでしょうか。

[Matthaus]

結局貴方は、このスレッドで何を求めているのですか？

自分がトークンを解除したから、他のプレイヤーにも解除して欲しいと言うことですか？
トークンを否定する方向へ導かないで欲しいです。

簡単簡単と書かれていますが、それなら貴方が簡単だと言うことを実証して見せてください。
机上の空論だけなら、誰にだって出来ますからね。

簡単と書かれていることが、実際に簡単に行えるのでしょうか？

ハッキング集団もボランティアでやっている訳ではなく、
労力に見合った見返りが得られなければ、たとえ可能でも実行しませんよ。

あれが駄目これが駄目と言われるのなら、それに代わる具体的な対応策を示してください。

それ以前に、この会社(vasco)のセキュリティが破られたというニュースを見たことがないのですが、
もし合ったのなら、新聞一面記事に載るぐらいの大事になっています。

[Matthaus]

１．トークン有効期間が30秒であること　（３～４の間）

詳しくは、トークンのボタンを押して乱数を発生させてから32秒で、
実際には、その後にキーボードを打ち送信するロスタイム？もあるので、
加害者側に残された時間は、30秒も無いですね。

さらに回線品質が保証されていないインターネットの通信では、
通信ラグは付きものですから、
被害者がトークンのボタンを押してから加害者がログインするまで、
32秒で済ますのは、現実的には至難なことだと思います。

これを簡単と言ってのける思考は、ちょっと普通じゃないですよね。

右足を下ろす前に左足を上げ、左足を下ろす前に右足を上げる、
これを繰り返せば宙に浮ける、
机上の空論ですが、簡単な事でしょう？でも実際に出来ますか？

これと同じ事だと思います。

[Poice]

これはダウト。偽装サイトから取得したOTPは正規のサーバにおいて30秒しか有効では無いので、偽装サイトで何をしようと余裕は発生しません。

上記の「最大30秒以内に全てをこなすという離れ業をこなした上で、そうした苦労をクリアしても一回きりしか利益を得られない」という
状態を回避するには、パケット解析なりトークンの解析なりが必要になると言う事です。

途中までは同意ですがここから”え？”という感じです
罠サイトでのＩＤ、パス、トークン値の取得＞ログインまでの時間が３０秒かからずログインまで済ませてしまえばあとはゆっくり料理できるのでは？
なぜパケット解析やトークン解析などという話がでてくるのかわかりません。
「一回きりしか利益を得られない」って当たり前じゃないですか？　一度すっからかんにした被害者を再度ハッキングする必要はないでしょう

基本的に世の中のセキュリティは全て「コストと利益の兼ね合い」で動いています。
セキュリティに掛かるコスト、セキュリティを破ることで掛かるコストと利益、これを無視しては現実世界におけるセキュリティというのは
成り立たないわけですね。

これはセキュリティに対する意識が低すぎるのではないでしょうか？
まぁ個人的にはこんな過疎っててギルにほとんど価値のないゲームをハッキングしてどうするの？って感じですが、実際に被害者がいるわけですしその加害者がどこまで高度な技術をもっているかは未知数ですよ

[Matthaus]

まぁ個人的にはこんな過疎っててギルにほとんど価値のないゲームをハッキングしてどうするの？って感じですが、実際に被害者がいるわけですしその加害者がどこまで高度な技術をもっているかは未知数ですよ

これは、トークン利用者が被害に遭った実例があると言うことでしょうか？
トークン未使用者の被害なら聞いたことがありますが、
それが本当なら、ソースを提示して頂けますでしょうか？

世界規模の、大ニュースですので。

同じトークンを利用しているFFXIでも、トークン利用者の被害報告は聞いたことありません。

それ以前に、もっと前から同じトークンを採用していたであろう金融機関等の被害も聞いたことありませんが...

[Poice]

、
それが本当なら、ソースを提示して頂けますでしょうか？

ＲＳＡが破られたとかそういう話ではないのですが・・・

世界規模の、大ニュースですので。

同じトークンを利用しているFFXIでも、トークン利用者の被害報告は聞いたことありません。

それ以上に、同じトークンを採用しているであろう金融機関等の被害も聞いたことありませんが...

＃８０を読んだ上でこの発言をしているというのであれば返す言葉もないです。あれ以上丁寧/詳細まで手順を説明できません
こうすればトークンの仕組みを破らずにハッキングできるのでは？という可能性について話をしているのに「世界規模の大ニュース」とか・・・

[Matthaus]

実際に今までトークンが破られたという事例がないのに、
貴方だけ、トークンが簡単に破られて当たり前という前提で話されているから、
いつまで経っても、議論がかみ合わず終息しないのですよ。

只のマイナス思考の被害妄想に過ぎませんね。

可能性を提示するのは一向に構いませんが、
他の方は、それを実際に行うとなると現実的ではないとおっしゃっているのです。

それなら、どう対策されるのが良いとお考えなのですか？

このままでは、何でもかんでも否定だけして対策を提示しない、政治屋と同じじゃないですか。

トークン利用者を良くない考えの方へ導こうとしている節が見受けられます。
貴方なら、現在トークン以上のセキュリティ向上策が浮かびますか？

ミスリードは止めてください。

貴方は、トークンが破られることを望んでいるのですか？

[Poice]

実際に今までトークンが破られたという事例がないのに、
貴方だけ、トークンが簡単に破られて当たり前という前提で話されているから、
いつまで経っても、議論がかみ合わず終息しないのですよ。

只のマイナス思考の被害妄想に過ぎませんね。

トークン利用者を良くない考えの方へ導こうとしている節が見られます。
貴方なら、現在トークン以上のセキュリティ向上策が浮かびますか？

ミスリードは止めてください。

貴方は、トークンが破られることを望んでいるのですか？

トークン導入によってそりゃセキュリティが飛躍的に上がることは重々承知していますよ。通常版ユーザーにも新クライアントディスク送付時にトークンも添付して全ユーザートークン必須にすべきだと思ってます

ただ「絶対」ではないと言いたいのです
可能性があるのに「想定外」「前例がないから」といって考えもしないのは某電力会社と一緒じゃないでしょうか？

「ウイルス対策ソフト入れるから大丈夫」という被害者を散々袋だたきにしておいて「俺はトークン使ってるから絶対大丈夫」という思考はレベルの差があるだけで同じ思考じゃないですか？　むしろそういう人こそ罠サイトや罠ツールに引っかかりやすそうじゃないですか？