ゲームへのログインに関して

[EyesOfTomorrow]

スレ主さんは「自己責任でいい」と言っていますが、もしハックされた場合あきらめる、という認識でよいのでしょうか？
それともスクエニにデータ復旧をお願いするのでしょうか？

もしデータ復旧を求めるのであればあまり軽々しい発言は控えたほうが良いかと思います。
1/1,000,000 がどのくらい危険か？と言っていますが、
ブルートフォースアタックでも瞬きする間もないですよ？

SUPER PIというベンチマークソフトで測定してみましたが、
自分のQ9550(4コア、2.8G)で104万桁をカウントするのに1秒弱でした。

因みに1年前自分がハックされたときスクエニにデータ復旧の依頼をした際、
・免許証かパスポートの複写
・住民票
等ほかにも3点ほど個人情報にかかわる書類を本社宛に送るように言われました。(他失念)
これは、業者との関連付けを調べるものだと思われます。
もっとも自分は個人情報を大企業に渡すほうが怖かったので、データはあきらめて一からはじめなおしましたが。

少々長文になりましたが、自分の価値観を人に押し付けないでください。
貴重な時間を割いてプレイした大事なキャラクターです。
「自己責任でいいからトークンオンリー」というのはスレ主さんの意見であり、
他のプレイヤー(全世界)の声ではありません。

[Zhar]

仮にIDとワンタイムパスワードでログインできるようにしたとして
IDが割れて、1/1000000の確率で他人にログインされた場合に
ユーザーはどのような法律でスクエニを訴えることができるのでしょうか？

法律は詳しくないので正確には答えられませんが、まず仰るログイン手法をスクエニが導入するとしてですね
・アカウントクラックの被害者がスクエニを訴えた
・そのユーザーはTOPDOG氏の仰る方式のログイン手法を使っていた
このケースが発生した場合、ログイン手法に関して明らかに瑕疵があるものをユーザーに提供したということで、
スクエニ側の責任は問われるような気がしますがね。
単にID/PASSを抜かれただけなら、ユーザー側の重過失とみなされますが（これは判例がある）
刑事ではなく民事で争うことになるので、どの辺を争点にするかも変わりそうです。
誰か法律に詳しい人、ここのフォーラムにはいませんかね？ｗｗ

ただものではないと思っていましたが、セキュリティ屋さんでしたかｗ
そうですかｗ

単なる底辺ITドカタですよヽ(´ー｀)ノ
その程度の人間でも、セキュリティについては色々考えなくちゃならんという、嫌な時代です。

ま、私個人としては自己責任による簡易ログインに関する手法を提供すること自体は、別に反対はしません。
（私は使いませんが）
先に述べたように、これは社会的コンセンサス（つまりFF14の場合はユーザーの声、になるのかな？）
が重要になるので、本気でそれを望むのであれば、最低限、他人を煽るような文体はやめて
賛同する人間を増やすように仕向けた方が良いんじゃないですかね？

[Kalashnikov]

IDが漏れて1/1000000の数字を当てられる可能性だとか
キーロガーがしかけられて、IDとパスが漏れて、さらに1/1000000の数字を当てられる可能性だとか
そういう話をするならば、プレイ中に自分に隕石が落ちてくる等のリスク対策もしないとですねｗ

100万分の1というのは、「あなたのアカウントが詐取されることがない」ためにはそれなりに小さいですが、
「誰かのアカウントが詐取されることはない」ためには大きすぎます。
攻撃する人からすればピンポイントであなたのアカウントを詐取するのでなく
なんでもいいから詐取できればいい場合もあるのです。

仮に以下の前提の場合を考えます
前提1) パスワードがワンタイムで100万通りしかないことが分かってる
前提2) パスワードを1時間以内に3回連続で間違えるとロックされる
前提3) 有効なID1万個のリストを持っている
有効なIDはスクエニアカウントを取る際に重複チェックがありますから、
「重複チェックにひっかかるもの」が有効なIDです。
ここで、あるワンタイムパスワードを1秒に1回、1万個のうちのIDのうち1個に順に試すことを考えましょう。
それぞれログインできる確率は1/100万の確率ですが、1秒1回ですと1日に86400回試行できます。
1/100万で86400回試して全部外れる確率は、(999,999/1,000,000)^86400 = 0.917227227
91.7%の確率で全部外れますが、恐ろしいことにたった1日で8.3%の確率でどれかはあたってしまいます。
あるIDについては10000秒に1回しか試さないのでロックされることもありません。
事前にIDが漏れている必要はありませんし、キーロガーを仕込む必要もありません。
単に100万通りしかないパスワードというのは弱すぎるんです。
そういうのをするならワンタイムトークンで15桁くらいの数字を入れる必要があるかと思います。

[Zhar]

有効なIDはスクエニアカウントを取る際に重複チェックがありますから、

ああそうだ、確かにそうですね。私も甘いな(´д｀)
というワケで、いいね押しましたが、心情的にはあと100万回位押したいｗ

[Kalashnikov]

仮に以下の前提の場合を考えます
前提1) パスワードがワンタイムで100万通りしかないことが分かってる
前提2) パスワードを1時間以内に3回連続で間違えるとロックされる
前提3) 有効なID1万個のリストを持っている

次に、パスワードがある場合について考えましょう。
前提4) 各IDはそれぞれパスワードを設定している
この場合、パスワードがあるため、単純に有効なIDをなめていくだけではダメで、
何かのパスワードを一緒に送信しないとダメです。
この時点で、推測困難な十分「よい」パスワードを設定している人はほぼ安全であることがわかります。

仮に適当なパスワード（「password1234」とか「IDと同じ文字列」などの安直なものです）を順に試したとしましょう。
たまたま安直なパスワードを設定しているアカウントにあたった場合でも1/100万の確率でしかログインできませんし、
攻撃者からするとパスワードが違うのかワンタイムトークンにより弾かれたのか分かりませんのでだいぶ攻撃が成立しづらくなります。
スクエニはわざわざ余分なコストをかけてワンタイムトークンを導入することにより、
そのような自己責任で安直なパスワードを指定する人をもなるべく保護しようとしているとも言えます。

※ただし、安直なパスワードを指定する人が一定数いることは知られているので、
安直なパスワードを設定している人に限ってはこのような攻撃をされたら早晩クラックされる可能性があります。
なんにせよ、あなたの安全のためにパスワードには十分長く、推測しづらい文字列を指定すべきです。

[Marino]

単に100万通りしかないパスワードというのは弱すぎるんです。
そういうのをするならワンタイムトークンで15桁くらいの数字を入れる必要があるかと思います。

なるほど。すごく納得しました。しかも、解りやすい説明なので、
これ以上の議論の余地もないですね。

技術者というのは、時に難解な説明を第三者にしがちで、
比喩を使うにしても、それが妥当かどうか微妙な感じになることがありますが、
すごくよく解りました。

[kenyblack]

私は、ＩＤ、パスワードとも、ソフトキーボードを必ず使用し入力してます。
クリップボードは結構危険なので。
この２点が盗まれた瞬間、トークンは上でも記述されてる通り、「単なる数字の羅列」ですから。

まあ、キーロガーにせよ盗む側も「たかがゲームのＩＤを盗む」ことに、
そんな労力をかけないから、ＦＦ１４なら盗まれることは無いだろうけど。
よほど恨まれてて、個人を特定しての嫌がらせ以外は。

[Smouman]

理論は良くわかりませんが、
私の周囲で３人が垢ハック被害に遭い、そのうち２人は引退しました。
ちなみに全員がトークン未使用でした。

業者またぎと揶揄されてきた時期でも、垢ハックはあったんです。
これから新生に向けて業者は活発になり、被害は更に増すでしょう
スクエニには垢ハック救済措置もあるのですが、乱用悪用防止の為に復活に３週間ほど掛かるそうで、
心が折れかけている被害者には冷たい仕打ちとなっています。

ぶっちゃけた話、ＩＤとパスワードだけでは障子紙同然だと思っています。
スクエニはもっとトークンの使用を強く強く推すべきです
というか、通常版にもトークンを標準装備すべきです
１１の時はサッチェルという大盤振る舞いをして普及を図ったのに、１４では何もありません。
いや、別に何か特典を追加しろウッヘッヘとかそういう意図は微塵もなく純粋な公徳心から主張しているのですが
ＣＥ買ってトークンを持ってても使用してないって知り合いも実際に居てビックリしてしまいます。

[evergreen35]

なぜこのようなスレッドが作られたのか理解に出来ません。
スレ主さんはハッキングの被害に会ったことがないのかな？
私はあります。（別のMMOでしたが。）

そのときはワンタイムパスワードを設定していなかったので、アカウントパスワードのみとワンタイムパスワードのみでどれほど安全性に差があるのかはわかりませんが、被害に会った後のことを考えると少しでも安全性を高めて欲しいと思います。

ちなみに、被害に会ったときは一ヶ月以上ログイン出来ませんでした。
（アカウントやゲーム内のデータは運営様にリカバリしていただけました。）

[Poice]

ところでＩＰ変わるとロックされる仕組みってなくなったんでしょうか？
結構頻繁にＩＰ変わるので何度も遭遇してましたが最近なりません

あれはあれで「安心」できるいいシステムだったと思うのですが
できることなら希望者にだけでもあのシステムを選択可能にしてほしい

あと他ゲームで「このパソコンでしかプレイしない」というロックシステムがありました
ＩＤ、パス抜かれてもＰＣと紐付けしてあるので他人のＰＣではログイン出来ない仕組み
（何をもって”このＰＣ”というかは企業秘密でしょうから詳しい仕組みは知りませんが）
こういうのも是非導入してもらいたいです