ゲームへのログインに関して

[Poice]

えー…、スレ主のトークンのみは論外ですよ…と。
現状ＩＤ、パス、トークンがユーザーの最善策ですよ…と。
とは言え、普段から怪しいサイトにアクセスしない等の対策を取る危機管理と危機感を持ちましょう…と。
運営は常に最新かつ最善のセキュリティーをお願いしますよ…と。

憎しみを捨てて話し合えばこれだけじゃないの？

全くその通りであります。ずぶの素人同士が何年も前に知られていた手法に関して出来る出来ないと言い合ってただけですからねぇ。お恥ずかしい限りです。

[vbsnbk]

何処にぶら下げてもいいんだけどね。

えー…、スレ主のトークンのみは論外ですよ…と。
現状ＩＤ、パス、トークンがユーザーの最善策ですよ…と。
とは言え、普段から怪しいサイトにアクセスしない等の対策を取る危機管理と危機感を持ちましょう…と。
運営は常に最新かつ最善のセキュリティーをお願いしますよ…と。

憎しみを捨てて話し合えばこれだけじゃないの？

そう、それだけですね。
言うまでも無くスクエニさんがちゃんとサポートページを用意してるので「ここよく読んでおいてね」ってことでFAです。

[Matthaus]

話は変わりますが
あ…ありのまま 今　起こった事を話すぜ！
電池切れで解除したトークンを分解したら元気いっぱいの電池が出てきた
な…　何を言ってるのか　わからねーと思うが．．．

どうもボタン部分のゴムが劣化して油分（かな？）が接点に流れ込みボタンの接触を阻害してたようで・・・
同じ症状の人いませんかね？時間がたつにつれ少しづつボタンを強く押すさないとだめになるのが前兆です

何とか意見が終息したようで、落ち着きましたね。

お互い思うところは同じなのに表現の違いで熱くなってしまい、反省反省...


トークンの不良なら、もしかしたら不良交換して貰えたかも知れませんよ。

分解して電池を外した時点で、保証対象外でデータが消去されてしまうので、
電池交換は個人ではできない仕組みになっています。
(通電しながら電池交換しないとデータ消去される)

容易に内部解析されないための仕様なのでしょうね。

耐用年数約7年ですから、そう簡単には劣化しないと思われますので、
恐らく運悪く初期不良品に当たってしまったのかと。

どんな高品質な物でも人が作る物ですから、不良率0%にはなりませんからね。

他でトークンが壊れたという人を見かけましたが、
その人は直ぐサポートに電話して解除してもらい、別のトークンを購入したそうです。

何はともあれ、早急に別のトークンを用意されることをお勧めします。

[Poice]

一晩たって冷静になりやっぱり熱くなりすぎてたことを実感しました

私の無知及び説明下手によりスレを迷走させてしまったこと、トークンに対する間違った印象を与えてしまったことをお詫びします

要点だけをまとめますと

トークンを使っていても下記で解説されているようなフィッシングの手口が存在します
http://www.computerworld.jp/topics/5...99%BB%E5%A0%B4
http://blogs.itmedia.co.jp/ogura/200...labs_41df.html
ユーザーの使い方によって理論的には「絶対安全」「１４でハック被害者がでたら世界中でニュースになる」などということはありません。トークンを使っている方でもそういう被害を受けないよう気をつけてください

以下はMinnaさんに紹介してもらったフィッシングの手口とその対策についてわかりやすく解説してある銀行のサイトです。トークンを使っている方でもご一読を。
http://www.smbc.co.jp/kojin/otp/index.htmlの
「敵の手口を知り、金融犯罪から身をまもろう！
三井住友銀行を安心してご利用いただくためのポイントをわかりやすく解説！」
→「簡単！やさしいセキュリティ教室」はこちら
のＣＡＳＥ４

[Minna]

一晩たって冷静になりやっぱり熱くなりすぎてたことを実感しました

私の無知及び説明下手によりスレを迷走させてしまったこと、トークンに対する間違った印象を与えてしまったことをお詫びします

要点だけをまとめますと

トークンを使っていても下記で解説されているようなフィッシングの手口が存在します
http://www.computerworld.jp/topics/5...99%BB%E5%A0%B4
http://blogs.itmedia.co.jp/ogura/200...labs_41df.html
ユーザーの使い方によって理論的には「絶対安全」「１４でハック被害者がでたら世界中でニュースになる」などということはありません。トークンを使っている方でもそういう被害を受けないよう気をつけてください

以下はMinnaさんに紹介してもらったフィッシングの手口とその対策についてわかりやすく解説してある銀行のサイトです。トークンを使っている方でもご一読を。
http://www.smbc.co.jp/kojin/otp/index.htmlの
「敵の手口を知り、金融犯罪から身をまもろう！
三井住友銀行を安心してご利用いただくためのポイントをわかりやすく解説！」
→「簡単！やさしいセキュリティ教室」はこちら
のＣＡＳＥ４

その手の仕事をしておりますが、説明が下手でずぶの素人と言われておりますMinnaです。（ネタとして頂きマス）
和尚さんが引用していますが、上記以外にも以下のようなサイトを熟読し、フィッシングやワンタイム・パスワードの知識として取り入れておくと良いでしょう。

高木浩光＠自宅の日記：ワンタイムパスワードは何のためにあるのか
http://takagi-hiromitsu.jp/diary/20061021.html
高木浩光＠自宅の日記：対策にならないフィッシング対策がまたもや無批判に宣伝されている
http://takagi-hiromitsu.jp/diary/20070923.html

産業技術総合研究所：抜本的なフィッシング詐欺防止技術を開発
http://www.aist.go.jp/aist_j/new_res...r20070323.html


尚、VASCO社自身が出している対策ページは以下になります。

VASCO : フィッシング詐欺対策
http://www.vasco.co.jp/phishing/
※トランザクション改変も検知し、中間者攻撃に備えているようだ。


超蛇足：これらのフィッシング云々であるとか、中間者攻撃（Man in the Middle攻撃）の内容は、情報セキュリティスペシャリストの午後試験に出るようです。（汗

閑話休題：
今のスクエニのログインサイトにも若干振る舞いがおかしいところがあるようで・・・ちょっと調べて別にPOSTしておこう。全然大きな問題じゃ無さそうだけど。
->FireFox（Versionは全般）のバグでござった・・・。IE9などであれば問題なし。

[Poice]

その手の仕事をしておりますが、説明が下手でずぶの素人と言われておりますMinnaです。（ネタとして頂きマス）

余計な表現でした。そこも謝罪します

[Zhar]

高木浩光＠自宅の日記：ワンタイムパスワードは何のためにあるのか
http://takagi-hiromitsu.jp/diary/20061021.html
高木浩光＠自宅の日記：対策にならないフィッシング対策がまたもや無批判に宣伝されている
http://takagi-hiromitsu.jp/diary/20070923.html

産業技術総合研究所：抜本的なフィッシング詐欺防止技術を開発
http://www.aist.go.jp/aist_j/new_res...r20070323.html

こんな所で高木先生のBlogのURLを見るとはｗ
ただ、先生の記事って阿呆な技術者への啓蒙的な面が多いので
素人が集まるこういう場では、あんまりふさわしくないかも・・・とか少し思いましたｗ

[vbsnbk]

こんな所で高木先生のBlogのURLを見るとはｗ
ただ、先生の記事って阿呆な技術者への啓蒙的な面が多いので
素人が集まるこういう場では、あんまりふさわしくないかも・・・とか少し思いましたｗ

jbeef先生キタ━━━━(゜∀゜)━━━━ッ!!
あの人はまあ産総研という公的機関所属なこともあるんでしょうが、（本人にはこれっぽっちも得にならないのに）
「他の人が出来ないことを平然とやってのけ」ますからね。
#特に報道機関と公的機関相手に(苦笑)。
まさに「そこにシビれる！あこがれるゥ！」ですよ、ええｗ

[Poice]

「どこまでやったら安心できるの？」って書き込みが消えてる･･･
頑張って調べたのに

フィッシング対策としてはログインページのアドレスが
https://secure.finalfantasyxiv.com/account/app~
であることを確認することが一番重要で効果的なようです。（Firefoxだと特別な表示がされますね）詳しくはわかりませんでしたがこれが破られたら世界中でニュースになるレベルらしい？

～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～～
以下、専門家の方がいらっしゃるようなのでご意見を聞きたいです。（トークンが安全云々の話は終わってます。さらに安全にするにはという話なのでわからない人は流してください）

・ログインページの一番下に「 個人情報を送信する前に、ウィンドウ上に表示されているドメインがSSL証明書のものと同一であることを、かならずご確認ください。」って重要なことがさらっと書いてあるのに始めて気付きました。ドメインって何？っていうレベルのユーザー（私も含め）にほんとに注意喚起してるつもりなんでしょうか？ハックされた時の言い訳用にしか見えません。

・現行の専用クライアント（中身ＩＥですかね？）上でのパスワード入力は偽クライアントによるなりすましに対して脆弱だと思うのですがどうでしょう？　私の知っている限り日本のスクエニ以外の運営はブラウザ上でログインさせてます。　セキュアなページかどうか確認出来る分そっちのほうが安全な気がします

・現在連射パッドによる放置合成が出来る仕様になっているのは以下を防ぐためだとか？ｗ（１１の最初期の寝釣りツール使ってたらキャラ削除されたって騒動を思い出しました）
マテリアシステムでいやいやクラフターのＬｖ上げする人口が増える　＞　自動合成ツールが出回る　＞　それを偽装した偽クライアントによるハッキング多発

■ｅ＜連射パッドで合成できるようにすることでツールが出回るのを防ぐことに成功しました！

[Zhar]

んー、Poiceさんの目的は何ですかね？トークンが信用出来ないんですかね？
とりあえず、トークンを使うのが現実的（経済的）に一番ベターな選択肢ですよ。それ以上ってのは多分無い。
（ありますけど、生体認証みたいな（物理的な）認証機構やらが必要で、実現に必要なおカネの額が４～５桁上がります）
と、その辺はご理解戴いてると思うので、その上で。

今回URLを長々貼ることはしません。可能な限り技術的な用語とか小難しい言い回しは無く書きたいと思います。
我々のFF14アカウントが、業者やらの悪意ある人間から狙われているとして、彼らの手法は大まかに3つあります。

Ａ．スクエニのサーバーに侵入する
Ｂ．偽のスクエニアカウントサイトを作ってユーザーを騙して釣り上げ、正規のIDとパスを盗む
Ｃ．ユーザーのPCに何らかの細工をして侵入し、正規のIDとパスを盗む

Ａをやられちゃった場合、これはもうどうしようもありませんｗ　スクエニを信用するしかありませんが
金銭的な被害だけは、クレカを使わずにWEBマネーでクリスタを当月分のみ購入するとかで軽減可能です。

次にBの場合。これを防ぐのは「ユーザーの注意力」しかありません。
んじゃナニを注意するのん？と言われると、それが「ドメイン」なんですね。まさに↓コレですよ。

・ログインページの一番下に「 個人情報を送信する前に、ウィンドウ上に表示されているドメインがSSL証明書のものと同一であることを、かならずご確認ください。」って重要なことがさらっと書いてあるのに始めて気付きました。

詳しい技術的な仕組みは割愛しますが、要するに偽サイトを作っても「本物と同じに出来ない」部分
ってのがあり、それが「ドメイン」と「正規のSSL証明書」とのセットなわけです。なので確認すべきはココなんです。
ただし（例によってｗ）これも完全ではないのですが、最新のブラウザを使っていれば安全と思って差し支え無いでしょう。
それ以上はユーザーが心配しても仕方のないレベルです。（気を付けるべきは我々技術者側になるということですね）

そして問題はＣの場合。ユーザーのPCにウィルスやらナニやら入れられた時点で、まあ大体「詰み」なので、
ウィルス対策ソフトとか、OSやブラウザを最新にするとかは、基本的にこれをやられない為の対策です。
ところが、トークンを使ってると、この「詰んだ」状態でも1/100万の確率でしかログイン出来なくなるんですね。
なのでトークンが重要（かつお値ごろ）という訳ですが、もっと重要なのはンなものに感染しないことである
のは言うまでもありません。

・現行の専用クライアント（中身ＩＥですかね？）上でのパスワード入力は偽クライアントによるなりすましに対して脆弱だと思うのですがどうでしょう？

YES
但し、偽クライアントを仕掛けられる＝既に自分のPCに何かされている（上例のＣの問題）ということなので、
それ以上の考慮は無意味です。（スクエニに文句言う前に自分のPCを何とかせいや、ということですｗ）

１１の最初期の寝釣りツール使ってたらキャラ削除されたって騒動

これも上記の例でＣの問題にあたります。
.exeファイルをダブルクリックするということは、そのPCに対して何をしても良いよ、という許可を与えるということです。
（なので最近は、システムのヤバい箇所を触るソフトにはウザったい許可のウィンドウ（UACといいます）が
出るようになりましたが、これは上記の理由で必要な仕組みなのです）
要するに、そもそも誰が作ったかも分からないツールを使おうとする時点で論外なので、スクエニ側でも
そういう人向けへのサービスはさすがに出来ないｗ（が、トークンを使っていれば1/100万の確率で以下略）

こんな感じで。間違いとか分かりにくいぞｺﾗヽ(｀Д´)ノ　ってのがあったらツッコミ歓迎
あと、ソーシャルについては考慮してません（嫁さんと喧嘩してアカウント消されたとかｗｗｗ）
そーゆーのは各自で頑張って対処して下さいなヽ(´ー｀)ノ