ゲームへのログインに関して

[stir_pris]

・100%の安全性を保障できるセキュリティ技術は存在しません。
　（そのため、「どこまで実現するかを定めること」がセキュリティ構築の設計要素の１つです）
・たとえば99%の安全性を求めるなら、単一の要素でやるよりも90%の要素2つでもって実現した方がコストが低いです。
　（数値はパスワード・トークンに則したものではありません、計算し易い例なだけです）
・堅牢性と利便性は基本トレードオフです。
　（要素が増える＝手間が増える　で利便性は損なわれますが、クラックする側としてはクリアすべき障害も増えます）
・他細かい事ははしょりますが、以上より「許容できるコスト（手間・費用、その他色々複合的なものです）内において複数の要素を組み合わせる」のが、最適解とされています。「ID＋PASS＋トークン」、この程度の要素の組み合わせが多くのケースにおいて最適解になります。
　（「色々複合的なもの」を算出できるのはその為のデータを持つ人、つまりスクエニ社員だけです）

　説明に不足があるのは承知していますが、しっかり説明するとなると普通に千文字単位になるので、これ以上詳しく知りたいならセキュリティ系の講座受けるとか本買ってくるとかしてください。
　ちなみに「ID+トークン」はトークンが数字のみの6文字の文字列なので、クラッキング側にIDがバレている状況では「ID+PASS」よりもセキュリティ的には遥かに脆弱です。IDは表示されるがPASSは伏せ文字となる入力画面は多くの方が見たことがあるかと思いますし、PASSのリセットの為などでIDが個人特定の為に利用されるなど、IDはPASSと比べて利便性確保の為に防備が甘い情報です。そのためPASSは盗まれないがIDは盗まれるというケースは発生します。
　総当りを検知したら当該IDのアクセスを不可にすれば被害は食い止められますが、それはつまりクラック側によってIDを半永久的に利用不可にすることが出来るという事です。ID変えればその状態は当然解消しますが、同時にユーザ管理コストが跳ね上がります、そしてコストが跳ね上がるってことは「ID＋トークン」が最適解ではなくなるということです。

[vbsnbk]

承知で書かれていると思うんで蛇足だと思うけど、一応。

ちなみに「ID+トークン」はトークンが数字のみの6文字の文字列なので、クラッキング側にIDがバレている状況では「ID+PASS」よりもセキュリ ティ的には遥かに脆弱です。IDは表示されるがPASSは伏せ文字となる入力画面は多くの方が見たことがあるかと思いますし、PASSのリセットの為など でIDが個人特定の為に利用されるなど、IDはPASSと比べて利便性確保の為に防備が甘い情報です。そのためPASSは盗まれないがIDは盗まれるとい うケースは発生します。

「ID+トークン」が脆弱なのはそのトークンの有効期間内に総当たりでアタック可能な場合ね。
この場合でも「理論的には可能だけど実際には無理」という論理が適用されます。ほとんどの場合
一定期間内に複数の誤った認証試行をするとそのアカウントがロックされたりしますので、
偶然に正しいトークンの番号を引き当てるというのはまずあり得ないのですが。

IDはサービス側でも暗号化して格納することはほとんど無いので、もし他のサイトと同じID/パスを使っていて、
そのサイトからデータが漏れることは残念ながらしばしばあります。
そうした場合、攻撃者は「IDを固定にして可能性が高いパスワードを推測して片っ端から試す」というのが
一般的な攻撃方法になります。
多くの人が設定しちゃう可能性の高い「パスワードの辞書」というものが出回ったりしてまして、
こうした辞書を使って攻撃することから
こういう可能性の高いパスワードによる「あたればめっけもの」的な攻撃方式を
「辞書攻撃」と呼んだりしますね。

あと追記されてる点だけど……

　総当りを検知したら当該IDのアクセスを不可にすれば被害は食い止められますが、それはつまりクラック側によってIDを半永久的に利用不可にすることが 出来るという事です。ID変えればその状態は当然解消しますが、同時にユーザ管理コストが跳ね上がります、そしてコストが跳ね上がるってことは「ID＋ トークン」が最適解ではなくなるということです。

普通はそのIDを変更して対処すれば良いので、そう気にする程コストが上がる……かどうかは運営次第ですねえ。
あるいは攻撃とみなしてその接続元からのアクセスを閉じる、というのも実施できます。
ただこの辺はネトゲのサーバシステムと言うよりはIDS/IPSのレベルで実現可能な
話となりますね。

[Poice]

おや？何度も、素人考えのこの手順を行えば簡単に破れる、
とおっしゃっていた貴方から不可能だという言葉が出てくるとは、
手のひら返しですか？
考えを改めたのなら、素直にそう書けば良いだけだと思います。

「破る」の意味に認識の違いがあったのでしょうか？
トークンとその認証システム（１４に関してはVASCO社製みたいですね）の暗号強度とか乱数発生どうのこうのというのを「破れる」とは言ってはいないつもりですが・・・

理屈だけなら一応可能、但し実際にはほぼ実行不可能というのが、私を含めた他の方の見解ですね。
そこの所を何度も説明されているのに、一向に聞き入れないのはそちらだと思いますが？

ちゃんとした理由をもって「無理」と断言されているのはどなたの何番の書き込みでしょうか？
２４時間待機してるの？とかさばききれるの？、他にもっと美味しいところをハックした方がいいんじゃないの？という費用対効果での反論はいまのところどれも「無理」には当たらないと思いますが
（３０秒でギルの移動済ませる必要があるなんて勘違いは無しですよｗ）

トークンに代わる具体的な対策を伺って出てきたのも素人考え程度で、
それよりもプロが設計されたトークンの方が、優れているのも当たり前のことでしょう。

だからトークンのシステム自体を破るのではなくユーザーをだます方法（よくあるフィッシング詐欺の手口の初歩の初歩に一手間加えただけ）に対する決定打がウィルス対策ソフトだけなのでしょうか？
プロが設計したトークンは完璧でもそれを使う素人が間違った使いかた（偽サイトにＩＤとパスとＯＴＰを入力しちゃう）してしまう危険性について話しているのです

都合の悪いところだけ省いてレスするのは、なんででしょうね？

なるべくわかりやすいように要点だけ抜き出してるつもりなのですが・・・


しかしイベント装備で誰の発言かわかりづらくなるのやめて欲しいなぁ

[Minna]

ちゃんとした理由をもって「無理」と断言されているのはどなたの何番の書き込みでしょうか？
２４時間待機してるの？とかさばききれるの？、他にもっと美味しいところをハックした方がいいんじゃないの？という費用対効果での反論はいまのところどれも「無理」には当たらないと思いますが
（３０秒でギルの移動済ませる必要があるなんて勘違いは無しですよｗ）

では問おう。
あなたは、２４時間３６５日、PCの前で待機できるのですね？一睡もせずに。
それはスバラシイ。システム管理者になりサーバーのモニターを行う職に就くべきです。

だからトークンのシステム自体を破るのではなくユーザーをだます方法（よくあるフィッシング詐欺の手口の初歩の初歩に一手間加えただけ）に対する決定打がウィルス対策ソフトだけなのでしょうか？
プロが設計したトークンは完璧でもそれを使う素人が間違った使いかた（偽サイトにＩＤとパスとＯＴＰを入力しちゃう）してしまう危険性について話しているのです

入力する危険はありますが、何度も行ってるように約30秒（正確にはもっと少ない秒数）で通知確認＞ログインまで可能ですか？

[Poice]

これも勘違いですね
私が言ってるＩＤとはスクエニアカウントのＩＤです。トークンが出力する数字をユーザーがハッキングする悪者に提示する可能性がありませんか？

もう少しわかりやすくしましょう。どこか無理がありますか？

１．https://secure.square-enix.com/accou...rp=Service_SEJ
このサイト（ダイレクトに飛べるかな？）を丸パクリした偽装ＨＰを作成することは可能ですか？　＞　Ｙｅｓ（認証されたアドレスではなくなるでしょうけど。そんなことに気付かないど素人をターゲットとします）scuare-emix.comみたいなアドレスでｗ

２．偽装されたサイトに入力された”スクエニアカウント”のＩＤとパスワード、その瞬間のトークンが表示したＯＴＰ（６桁の数字）をログインボタンを押した瞬間にハッカーに通知することは可能ですか？　＞　Ｙｅｓ　（その偽サイトを作って運営してるんですからなんとでもなるでしょう）

３．さて被害者が入力した被害者のスクエニＩＤとパスワード、トークンのＯＴＰ（残り時間がどれくらいかわかりませんが）がハッカーの手元に揃います。ここでハッカーがゲームにログインできない理由が（時間切れ以外に）ありますか？　＞　Ｎｏ

４．ハッカーは一連の動作でトークンのセキュリティシステムを破ってますか？　＞　Ｎｏ

[Matthaus]

もう少しわかりやすくしましょう。どこか無理がありますか？

まともに受け答えするのが疲れてきましたので、簡潔に済ませます。

無理で無いというのなら、何故今まで何処も被害に遭っていないのですか？

無理かどうかの答えは、これが物語っていると思います。

[Poice]

では問おう。
あなたは、２４時間３６５日、PCの前で待機できるのですね？一睡もせずに。
それはスバラシイ。システム管理者になりサーバーのモニターを行う職に就くべきです。

そうですねぇ、寝てる間は本物のスクエニページに飛ばしておくことにしましょう
事業がうまくいって規模を拡大できるようになったら中国人やとって三勤交代かな

入力する危険はありますが、何度も行ってるように約30秒（正確にはもっと少ない秒数）で通知確認＞ログインまで可能ですか？

今問題になっている他サービスでのＩＤパスワードによるハッキングをハッカーが必死に手打ちでトライしてると思いますか？
それくらいのスクリプトはすぐくめませんかね？（私には無理ですよｗ　入力する部分だけならできると思いますが）
偽サイトから送られてくるＩＤ、パス、ＯＴＰの３つを受け取ったら起動してある１４のクライアントに入力してログインボタンを押せばいいだけです。どんだけラグあっても５秒とかからないと思いますが専門家の意見はどうでしょう？

[Tonia]

ああ、その辺はさっきの返信の追記で書きましたのでご一読下さい。
本来はこの返信に書くべきでしたが、入れ違いになってしまったようですね。
#ぶっちゃければ、本当に同意が取れているんだったらああいう書き方はあり得ません(苦笑)。

その「まず現実的にあり得ない」ことを針小棒大に取り上げることに何の意味も無いでしょう、というのが
少なくとも私の主張です。
「現実的にあり得ない」と言う確率をさらにもっと低くする方策は、トークンとは別のレベルで存在していますしね。
そういう事（方策）についてあれこれ議論するなら意味はあるでしょうけどね。

　トークンの信頼性は本件の項目の一つであって、それが全てではありません。トークンの信頼性という項で落ち着く結論の内容は、『何事にも例外はある』というものです。この項は議論の中心的内容ではないので、さほど議論の必要はありませんが、強いて言えば「どの程度の例外項が考えられるか」に落ち着かせるかということが求められるのであって、論破してはい終わり、というものではありません。

　トークンの安全性は、つまり『例外が発生しない限りトークンが破られることはない』という点が重要になります。これは本議論の前提に当たる内容で、『どの程度安全か』は重要ではありません。ただし、ユーザがどの様な行動をすれば、（ID/パスを含めた）トークン使用者の安全性が揺らぐか、という内容は一般人には参考になると思います。
で、結局何が言いたいのかと言うと、

　”トークンの安全性能”は確固としたものであるが、それに縋って他を疎かにするのはよくない。
　なぜならば、ユーザの注意する点は多々あるからである。また、ID/パスなどがそもそもばれないようにすることも重要である。（※補足１）
　よって、セキュリティに関して『○○があるから絶対安全である』と盲目的に信じるのはよくないと言える（※補足２）。特にセキュリティ意識の低いユーザ（含むトークン未使用者）はこの傾向がある為、トークン採用への啓蒙活動としては、盲目的に使用させるのではなく、そもそもの心構えの段階、つまり必要最低限のことから教えなければならない（※補足３）。

･･･になるかと思います。

※補足１：例えばフィッシングサイトや、偽造クライアントなど。
　費用対効果は低く、現状における現実的な成功率や実行の難しさなどを考えると可能性は限りなく低いが、犯罪者（詐欺師など）の発想や技術の進歩、個人的怨恨などの例外は世の常であるから、油断して良い理由にはならない。
※補足２：「トークン使ってるから安全」と思ってる人　などを前提としているため。
※補足３：通常の鍵（パス）に魔法の鍵（トークン）を付与するも同然だが、個人の行動（怪しいページを踏んだり、怪しいツールを使ったり）如何によっては、通常の鍵（パス）や魔法の鍵（トークン）の効果を落とすことになる。
･･･という一般人にとっては当たり前の説明も必要な人間を対象としている。

[Poice]

まともに受け答えするのが疲れてきましたので、簡潔に済ませます。

無理で無いというのなら、何故今まで何処も被害に遭っていないのですか？

無理かどうかの答えは、これが物語っていると思います。

今の１４にそこまでしてハッキングする価値がないだけでしょう
新生でｗｏｗくらいヒットしたらハッカーが本気だすんじゃないですかね？

「今までになかったから安全」なんてセキュリティ意識の低さを物語っていますね
「ウィルス対策ソフト入れてるから安全」は全員一致で否定するのに
「トークン使ってるから安全」という考え方してる人が多くてびっくりしています

[Minna]

そうですねぇ、寝てる間は本物のスクエニページに飛ばしておくことにしましょう
事業がうまくいって規模を拡大できるようになったら中国人やとって三勤交代かな

今問題になっている他サービスでのＩＤパスワードによるハッキングをハッカーが必死に手打ちでトライしてると思いますか？
それくらいのスクリプトはすぐくめませんかね？（私には無理ですよｗ　入力する部分だけならできると思いますが）
偽サイトから送られてくるＩＤ、パス、ＯＴＰの３つを受け取ったら起動してある１４のクライアントに入力してログインボタンを押せばいいだけです。どんだけラグあっても５秒とかからないと思いますが専門家の意見はどうでしょう？

ホントに・・・重要なところは読み飛ばしてるな・・・。
結論から言うと可能。しかし単一クライアントだけで扱うには不可能。
そこまでするなら私が書いたように、Socket通信を行うスクリプトを書く方がまだマシ（＝クライアントがいらない）。しかし書くにあたっては相当の技術が必要。

フィッシングがたった一人を相手にしてると思っているのですか？