ゲームへのログインに関して

[Tonia]

暗証番号は自分で設定したものですよね？

それなら自己責任がついて回りますが、
今回の件は、
企業側が用意したユーザーが介入出来ないセキュリティシステム自体を
否定していることに問題があるのです。

何も丸投げしろとは言っていません。
考えるのは大切ですが、暗証番号と違い一ユーザーがシステムに介入出来ますか？
（略）

システムへの介入という意味ではありません。
怪しいソフトは利用しない、怪しいページには飛ばない、（USBメモリなどの）記憶装置のセキュリティを守るetcetc、そういう一般論としての自衛全般に対する意味です。

[Rorn]

４．他運営でやっているいろいろな方式を導入
各システムの仕組みまでは知りません（詳しく仕組みをばらしてる所はないとは思いますがｗ）
・ヤフーのログインシール
・ゲームするＰＣの固定
・番号表
・携帯電話での認証（スマートフォンでは無効？）

あの
この上記全ての対策よりも
今現在スクエニが導入しているトークン１つのほうがセキュリティとしては硬いんですけど
あとゲームするＰＣ固定ってMACアドレス判別の事ですか？
あれザルですよ

[Matthaus]

システムへの介入という意味ではありません。
怪しいソフトは利用しない、怪しいページには飛ばない、（USBメモリなどの）記憶装置のセキュリティを守るetcetc、そういう一般論としての自衛全般に対する意味です。

それなら現在提供されているセキュリティトークンを導入するのが最善ですね。
これで現状十分自衛できますよ。

これ以上のシステムは、現在提供されていませんからね。

私もトークンを導入して自衛していますよ。

[Tonia]

彼の発言を見るに明らかに違うよ、
「素人である自分が思いつくようなレベルの攻略法で簡単に抜ける」と主張してるよ。


思考停止すべきとは誰も主張してないよ。少なくとも自分は「フィッシングで抜けることもあり得る」と
いうのは否定してない。
ただフィッシングについてはかなりの程度までセキュリティソフトでカバーしてるし、
そもそもトークンの説明書にもスクエニのサポートにも、
フィッシングを含むソーシャルハッキングに対する見分け方とか対処法はちゃんと書いてあるの。
それをもっと周知させるべき、という主張をするなら解るんだけど、トークンそのものを否定する根拠には
これっぽっちもなってないのが問題なのよ。
あとアカウントハック後のなりすましアクセスについての認識が無いというか、理解できてないのも問題だね。

　双方共に『トークンは利用したほうが良い』という結論があり、またトークンの安全性の高さも（認識の差こそあれ）ほぼ万全というレベルの高さでは合意が取れていますね？
　Poiceさん側の『使った場合でも（ごくわずかだが）リスクがある』という論法に対し、トークン安全側は『（これこれこういう理由だから）１００％安心できる』という論法を展開すれば、素人に対する啓蒙という意味で暗黙の「思考停止して良い」という結論が含まれていると言っても過言ではありません。（念の為先の投稿も補足しておきます）。


　すれ違う理由の一つは『加害者側がリスクを度外視した場合』を除外するかどうかでしょう。
　素人である私のセキュリティトークンに対する認識は『自転車の鍵を一つ増やすか』という話と同レベルです。その鍵（トークン）がどの程度強固であるのか、ということは素人にとってさほど必要な情報ではありません。重要なことは、
・２つ目の鍵（トークン）を使えば、使わない場合と比べて、飛躍的に安全性が高まること：①
・使った場合でも、ユーザが過信した場合は、被害に会う可能性が高まること：②
の２点です。
現状は①に対しては合意が取れていると思われますが、②に対する観点が異なると思います。
何故②を問題にするのかというと、

『トークンを使えば絶対安全って言ってたじゃないか！』などとクレームをつける、思考停止する人間がいるからです。

この手のユーザを問題視するのかという大前提があるかどうかで、本件に対する議論の見方は大きく異なると思います。

[Poice]

「トークンを使用することが今のところ一番の自衛手段」であることがわかった上で問題提起を行い何を望む？

ちょっと前に提案させてもらったのでそちらを参照ください

ちなみに今のハッカー達が狙うのは、このようなゲーム本体ではない。そのゲームを運営もしくは提供する会社だ。

じゃあなんで垢ハックされた被害者さんが出てくるんでしょう？

ゲームアカウント自身は、スクエニが提示しているトークンを使用することによりなんの問題もない。

何度も言っていますがトークンを信用しすぎです。こういう考えに警鐘を鳴らしているつもりなのですが伝わりませんかね・・・

逆に、スクエニ自身がハックされて、そこからアカウント情報が漏れることの方がよっぽど驚異だ。

前科があるだけにこれは心配かもｗ　こればっかりは頑張れとしか言えませんね

[Rorn]

『トークンを使えば絶対安全って言ってたじゃないか！』などとクレームをつける思考停止ユーザがいるからです。

いや、現状ならトークン使ってれば絶対安全ですよ、なんか喚いてる人いますけど「ありえない」と断言して捨てればいいレベルの話ですから

このトークン使って安全じゃないってことになったらFF14というよりももっと別のところが大騒ぎになりますしね

[Tonia]

いや、現状ならトークン使ってれば絶対安全ですよ、なんか喚いてる人いますけど「ありえない」と断言して捨てればいいレベルの話ですから

このトークン使って安全じゃないってことになったらFF14というよりももっと別のところが大騒ぎになりますしね

ああいえ、現実的には、現時点の技術力で絶対安全ということはまともな人間なら（語弊あり？）分かると思いますので、そこは問題じゃないです。（追記：トークンのセキュリティレベルについての話であって、ユーザ環境を含めた”絶対安全”ではありません）。

えてして上記のようなクレームを上げる人間はセキュリティ意識（場合によっては一般常識も）が甘く、それらに対して”安全”と盲目的に教えるのはよくないよ、というレベルの話です。

[Rorn]

何度も言っていますがトークンを信用しすぎです。こういう考えに警鐘を鳴らしているつもりなのですが伝わりませんかね・・

そもそもその今現在のセキュリティトークンの危険度合いが警鐘を鳴らすレベルじゃないんです
verisignのIE拡張ツールバーやスマホへメールを配信するタイプのものなら言わんとすることは
まだ多少は分からなくもないですがまだしもスクエニはキーホルダー型onlyですよ

貴方が鳴らしてるのは警鐘ではなくただのハンドベルです
煩いだけ

[Matthaus]

いや、現状ならトークン使ってれば絶対安全ですよ、なんか喚いてる人いますけど「ありえない」と断言して捨てればいいレベルの話ですから

このトークン使って安全じゃないってことになったらFF14というよりももっと別のところが大騒ぎになりますしね

世界100カ国以上1万社を越す企業や公的機関、1,750社もの国際金融機関に導入されていますから、
国際問題にまで発展しかねない、大問題になりますよね。

これが破られたら、もうハッキングを防ぐ手立ては、現在存在しないかと思います。

日本銀行がハッキングされた！とかなったら、世界中を駆け巡りますね。

[vbsnbk]

　双方共に『トークンは利用したほうが良い』という結論があり、またトークンの安全性の高さも（認識の差こそあれ）ほぼ万全というレベルの高さでは合意が取れていますね？

取れてないのが問題なんじゃない(苦笑)？
「万全じゃ無い」と言う主張を一生懸命やってる人に相対してたのが今日のここでのやり取りなんじゃ無いですか。
何とかまとめようとされる努力には敬服しますが、あんまり実を結ぶとは思えないなあ……。
私個人の決定としては、本人に対する直接的な説得はもう時間の無駄だと結論づけています（BLからわざわざ
出して読むこともしません、疲れましたから）
のであんまり言いたくないですが。

　Poiceさん側の『使った場合でも（ごくわずかだが）リスクがある』という論法に対し、トークン安全側は『（これこれこういう理由だから）１００％安心できる』という論法を展開すれば、素人に対する啓蒙という意味で暗黙の「思考停止して良い」という結論が含まれていると言っても過言ではありません。（念の為先の投稿も補足しておきます）。


　すれ違う理由の一つは『加害者側がリスクを度外視した場合』を除外するかどうかでしょう。
　素人である私のセキュリティトークンに対する認識は『自転車の鍵を一つ増やすか』という話と同レベルです。その鍵（トークン）がどの程度強固であるのか、ということは素人にとってさほど必要な情報ではありません。重要なことは、
・２つ目の鍵（トークン）を使えば、使わない場合と比べて、飛躍的に安全性が高まること：①
・使った場合でも、ユーザが過信した場合は、被害に会う可能性が高まること：②
の２点です。

（追記です)
これはあんまり正確な認識とは言いがたいかな。
「自転車の複数鍵付け」とはセキュリティトークンは根本的に異なります。
鍵で言うならば、もし誰かがこっそり本物の鍵を複製してもすぐに無駄になる、魔法の鍵のようなものなのです。
ですので、トークンを追加するだけでセキュリティ的な強度は桁違いに強くなります。それこそ
打ち破るのが「非現実的」な位にです。

現状は①に対しては合意が取れていると思われますが、②に対する観点が異なると思います。
何故②を問題にするのかというと、

『トークンを使えば絶対安全って言ってたじゃないか！』などとクレームをつける、思考停止する人間がいるからです。

この手のユーザを問題視するのかという大前提があるかどうかで、本件に対する議論の見方は大きく異なると思います。

偽サイトに気をつけるべき、といったような注意点というのはいくつかありますが、少なくとも
「IDとパスワードの管理（類推しにくさ、定期的な変更の必要、パスワードそのものの長さ）」については
「思考停止で構わない」といえるほどの安全性を確保出来るんですよ。
人間というのは「全く無意味でランダムな文字列」なおかつ「一定期間で変更する必要がある」ものを
覚えておくというのは至難の業です。それ故に
「面倒だから他の○○サイトで使ってるのと同じパスワードにしちゃえ」とか、
「自分の誕生日だの電話番号だののアナグラムで……」なんてことを起こしちゃうんです。
#これを極力防ぐ「覚えやすくてランダムなパスワードの作り方」なんてのもあって、
実は私がロドストで一回書いたことあるんですが……ちょっとばかり面倒です。
そういうのを機械的にフォローしてくれるのがセキュリティトークンですし、偽サイトにしたって
トークンが無い場合は抜き出した認証情報が使い放題であるのに対し、OTPで時間制限がかかる以上
抜き出した認証情報が既に無効である可能性が大いに高くなるわけです。
セキュリティに関する全てを「思考停止しろ」ということは出来ないですが、人間が苦手とする部分を
フォローして「その辺については何も考えなくてもOK！！」と言えるまでにセキュリティを上げてくれる
のがトークンですからね。
「よく分からなければ取りあえずトークン使いなよ」でも構わないんですよ、実際上。