ゲームへのログインに関して

[Tonia]

それなら現在提供されているセキュリティトークンを導入するのが最善ですね。
これで現状十分自衛できますよ。

これ以上のシステムは、現在提供されていませんからね。

私もトークンを導入して自衛していますよ。

まぁ有名どころのセキュリティソフトいれてFF14専用のゲームPC用意して専用回線引っ張って･･･という上での話しをしているわけではありません。Matthausさんと私がすれ違っている内容は、それらゲーム以外の環境も含みます。
セキュリティ意識の甘い人間はID/パス抜かれることもしばしばなので、トークンを使っていればあとの壁は百万分の一の確率とログイン制限になりますよね？それも分からないような人に対して、「トークン使えば自衛できますよ＾＾」と盲目的に言うのもどうかなぁ・・・というのが発端なので、それなりにセキュリティに気を使ってる一般人なら大丈夫です。安心してトークン導入を検討してください。

[Tonia]

取れてないのが問題なんじゃない(苦笑)？
「万全じゃ無い」と言う主張を一生懸命やってる人に相対してたのが今日のここでのやり取りなんじゃ無いですか。
何とかまとめようとされる努力には敬服しますが、あんまり実を結ぶとは思えないなあ……。
私個人の決定としては、本人に対する直接的な説得はもう時間の無駄だと結論づけています（BLからわざわざ
出して読むこともしません、疲れましたから）
のであんまり言いたくないですが。

いや、その部分に対しては疑いなく同意が取れてると思いますよ。本人も

トークン導入によってそりゃセキュリティが飛躍的に上がることは重々承知していますよ。通常版ユーザーにも新クライアントディスク送付時にトークンも添付して全ユーザートークン必須にすべきだと思ってます

とまで言ってますから。
この議論が終わらないのは、素人に対する啓蒙を意識するあまり、トークン絶対派が例外（※）を原則として認めないことによって落し所まで行き着かないせいです（これはどっちもどっちですが・・・）。「そんなことは分かっている」というのは双方共に感じていることでは？。
※加害者がリスクを度外視する場合やフィッシングの問題など

[Minna]

ちょっと前に提案させてもらったのでそちらを参照ください

もうRornさんが書いてるけど、そのような提案よりもトークンが今のところよっぽど堅牢

じゃあなんで垢ハックされた被害者さんが出てくるんでしょう？

トークンを使っていなかったから。

何度も言っていますがトークンを信用しすぎです。こういう考えに警鐘を鳴らしているつもりなのですが伝わりませんかね・・・

大企業や銀行も使用し、それなりの信用を得ているツールを信用せずに、何を信用するのです？
他の人も書いてるけどさ、トークンについてもっと調べてきてください。


http://ja.wikipedia.org/wiki/%E3%82%...82%AF%E3%83%B3
http://www.sophia-it.com/content/%E3...83%BC%E3%83%89

[vbsnbk]

いや、その部分に対しては疑いなく同意が取れてると思いますよ。本人も

とまで言ってますから。
この議論が終わらないのは、素人に対する啓蒙を意識するあまり、トークン絶対派が例外（※）を原則として認めないことによって落し所まで行き着かないせいです（これはどっちもどっちですが・・・）。「そんなことは分かっている」というのは双方共に感じていることでは？。
※加害者がリスクを度外視する場合やフィッシングの問題など

ああ、その辺はさっきの返信の追記で書きましたのでご一読下さい。
本来はこの返信に書くべきでしたが、入れ違いになってしまったようですね。
#ぶっちゃければ、本当に同意が取れているんだったらああいう書き方はあり得ません(苦笑)。

「例外」とおっしゃってることについて言えば、「リスクを度外視して」犯罪を犯す犯罪者は
罪を償うことになりますので、それはそれでセキュリティとしては有用、と考えるのが社会的な
常識というものです。（リスクというのはコストだけでなく、尻尾を掴まれるリスクのことも含めています）
殺人犯を捕まえても死んだ人は生き返りませんが、次の犯罪を防いで抑止力とする効果は十分に
有るでしょう？
フィッシングについても追記していますが、トークンを導入することで「破られたらはいそれまでよ」という
状態から「まず現実的にはありえない」というレベルまで被害を食い止めることが出来るんです。
その「まず現実的にあり得ない」ことを針小棒大に取り上げることに何の意味も無いでしょう、というのが
少なくとも私の主張です。
「現実的にあり得ない」と言う確率をさらにもっと低くする方策は、トークンとは別のレベルで存在していますしね。
そういう事（方策）についてあれこれ議論するなら意味はあるでしょうけどね。

[Poice]

あの
この上記全ての対策よりも
今現在スクエニが導入しているトークン１つのほうがセキュリティとしては硬いんですけど

すいません大前提が抜けていましたね

０．全員トークン使用を義務付ける

あとゲームするＰＣ固定ってMACアドレス判別の事ですか？
あれザルですよ

そりゃ「ＭＡＣアドレスで見てますよ」ってばれたらだめでしょうｗ
他にもＯＳ、マザボ、ＨＤＤ，ＣＰＵのスペック＆シリアルとかメモリの容量・・・等々　＋　現在時刻をあれこれ加工してハッシュ的なＯＴＰを作成して送信する。送信するパケットを見るだけではなにを参照しているのかわからない＆トークン同様有効期限つきにする。日によって参照する項目を変えるとか。
って感じでどうでしょう？
逆アセンブルして完全に解析されたらだめでしょうけど

[Minna]

すいません大前提が抜けていましたね

０．全員トークン使用を義務付ける

そりゃ「ＭＡＣアドレスで見てますよ」ってばれたらだめでしょうｗ
他にもＯＳ、マザボ、ＨＤＤ，ＣＰＵのスペック＆シリアルとかメモリの容量・・・等々　＋　現在時刻をあれこれ加工してハッシュ的なＯＴＰを作成して送信する。送信するパケットを見るだけではなにを参照しているのかわからない＆トークン同様有効期限つきにする。日によって参照する項目を変えるとか。
って感じでどうでしょう？
逆アセンブルして完全に解析されたらだめでしょうけど

HWのキーを加工してでも投げるのは良いのですが、ここにも過去にあった問題があり、今やタブーとされています。
PenIIIのキー送信に始まり、今やまたIMEIまで繰り返される問題として。
そしてそのような情報を送受信するプログラムコストよりも、今のトークンの方が安上がりなんですよね。実際の所。

それよりも、トークンを使用し且つまだ高みのセキュリティをというのならば、端末へのウィスルスキャンソフト導入が一番です。
特にhostsファイルを監視してくれるモノ。（してないスキャンソフトって逆にあるのかどうか・・・）

なぜhostsかというのは、一つ前に書いた私のURLから情報を漁っていけば大体わかるかと思いますが。

[vbsnbk]

身も蓋も無い話なんで、不快に感じる方も居るかと思いますが。

（自分も含め）セキュリティの素人があれこれ考える事って言うのはほぼ100%「既に業界的には通った道」なんですよ。
その中であれこれアイデアが生まれては消えていき、一般的に普及したのは「大きなデメリットが克服済み」か
「デメリットを補って余りある」メリットを持つシステムな訳です。
何を言いたいかというと、「もっと業界を信用しなさい、評判良いものは良いなりに優れてるんだから」ということで;-p

[Poice]

いやあの・・・

何度も言いますが「トークンを使った認証システムを破れる」とは言っていません。これ破られたらそりゃ世界中で問題になるんでしょ？
この認証システムがいくら強力だと力説されてもそこを論点にしたつもりはないのですが（破るのは不可能だと超同意しておいてもいいですよ）

でもそんな高度な事しなくても、フィッシングサイト作ってＩＤ、パス、トークンのＯＴＰを被害者に入力させそのＯＴＰが有効な時間内に業者が業者のＰＣでゲームにログインすることは可能ですよね？ってことなんですが。その場合暗号強度とかhostとかパケット解析、ウイルスとか関係ありますか？

[Matthaus]

何度も言いますが「トークンを使った認証システムを破れる」とは言っていません。これ破られたらそりゃ世界中で問題になるんでしょ？
この認証システムがいくら強力だと力説されてもそこを論点にしたつもりはないのですが（破るのは不可能だと超同意しておいてもいいですよ）

おや？何度も、素人考えのこの手順を行えば簡単に破れる、
とおっしゃっていた貴方から不可能だという言葉が出てくるとは、
手のひら返しですか？
考えを改めたのなら、素直にそう書けば良いだけだと思います。

でもそんな高度な事しなくても、フィッシングサイト作ってＩＤ、パス、トークンのＯＴＰを被害者に入力させそのＯＴＰが有効な時間内に業者が業者のＰＣでゲームにログインすることは可能ですよね？

理屈だけなら一応可能、但し実際にはほぼ実行不可能というのが、私を含めた他の方の見解ですね。
そこの所を何度も説明されているのに、一向に聞き入れないのはそちらだと思いますが？

トークンに代わる具体的な対策を伺って出てきたのも素人考え程度で、
それよりもプロが設計されたトークンの方が、優れているのも当たり前のことでしょう。

都合の悪いところだけ省いてレスするのは、なんででしょうね？

[Minna]

いやあの・・・

何度も言いますが「トークンを使った認証システムを破れる」とは言っていません。これ破られたらそりゃ世界中で問題になるんでしょ？
この認証システムがいくら強力だと力説されてもそこを論点にしたつもりはないのですが（破るのは不可能だと超同意しておいてもいいですよ）

でもそんな高度な事しなくても、フィッシングサイト作ってＩＤ、パス、トークンのＯＴＰを被害者に入力させそのＯＴＰが有効な時間内に業者が業者のＰＣでゲームにログインすることは可能ですよね？ってことなんですが。その場合暗号強度とかhostとかパケット解析、ウイルスとか関係ありますか？

何度言えばわかるの？
限りなく不可能に近い。そりゃもう0.00000…と続くくらいに。
人間がやればデスケド。これを人間にさせず、コンピュータにやらせる場合は先に書いたとおりSocketプログラムやらいろいろ書く必要があるし、
第一コストに見合わない。（私ならば書こうとも思わない）
さらに先ほど書いたhostsファイルは、中間者攻撃を行おうとする際の第一の変更箇所だからだ。
#DNS書き換えは更に大事なのでこの場合除外とする・・・。

約30秒間で人に何が出来る？常識的に考えてみてください。