ゲームへのログインに関して

[Rorn]

絶対に破れない暗号強度だったとしてもそれを迂回する手段なんていくらでも出来ます
要はその瞬間のトークンの表示を被害者に入力させるだけでいいのですから

トークンの仕組みをちゃんと理解してから言おうね、としか言えない

正直頭沸いてるとしか思えないですよ一連の発言

[Poice]

トークン有り無しでそりゃ雲泥の差があるのはわかりますがトークンだって絶対じゃないですよという話です。
トークンのシステムを破らなくてもＩＤとパス、その瞬間のトークンの数字がわかればいいだけなのでフィッシングの手口でログインできます（具体的な方法は消しましたけど）

「ウィルスソフト使ってるからハックされるのはありえない」と言って集中砲火浴びてましたけど「トークン使ってるからハックは絶対ありえない」は同じレベルの考え方なんじゃないかと
こういう危機意識の低い人が被害にあって騒ぐんでしょうねぇ

[vbsnbk]

トークンの仕組みをちゃんと理解してから言おうね、としか言えない

正直頭沸いてるとしか思えないですよ一連の発言

だねえ……ただ生半可に理解してると怖い部分もあるんだけど。

ご自分で調べられる方にお役立ちのキーワードを挙げておきますと、ここで「トークン」と言っているのは一般的に
「ワンタイムパスワード（OTP）」と呼ばれる方式の認証方法の一種です。
トークンのような特殊なデバイスを使う場合とそうじゃない場合でOTPの動作は多少違ってくるのですが、セキュリティトークンを
用いる場合、トークンと認証サーバの間でそれぞれ時計を内蔵しておいて、1分なら1分、30秒なら30秒単位でその時刻を元に
トークンに表示されるような数字（これが「ワンタイムパスワード（一定時間しか使えないパスワード）」です）を生成します。
　トークンを使う際、一番最初にアカウントに紐付けて,そのトークンの裏側にあるシリアル番号を登録しますが、この番号と時刻の情報を
元にOTPが生成されるので、あるトークンで特定の時間に生成されたOTPは他のトークンのOTPとは別の値になります。
　サーバ側でも同じように時刻とそのアカウントに紐付けられて登録されたシリアル番号を元にOTPを生成し、ユーザが入力したトークンの
OTPと比較して「その時間における正しいOTPかどうか」を確認します。

なのでセキュリティトークンをユーザがちゃんと持っている限り、ある一瞬のOTPを悪意のある人間が盗み出しても、その情報はシステムで
規定されている30秒なり1分なりの時間しか有効ではありませんので、そのパスワードは使用済みの「役に立たないパスワード」になるわけですね。

[vbsnbk]

トークン有り無しでそりゃ雲泥の差があるのはわかりますがトークンだって絶対じゃないですよという話です。
トークンのシステムを破らなくてもＩＤとパス、その瞬間のトークンの数字がわかればいいだけなのでフィッシングの手口でログインできます（具体的な方法は消しましたけど）

「ウィルスソフト使ってるからハックされるのはありえない」と言って集中砲火浴びてましたけど「トークン使ってるからハックは絶対ありえない」は同じレベルの考え方なんじゃないかと
こういう危機意識の低い人が被害にあって騒ぐんでしょうねぇ

いやいや、「理論的には可能性がゼロでは無い（けど現実的にはまずあり得ない）」のと
「現実的に被害に遭う可能性があり得る」というのを混同しちゃ拙いでしょ。
前者を許容出来ないってのは故事成語でいう「杞憂」レベルの馬鹿馬鹿しさですよ。
しかも件の話は「アンチウィルスは原理上100%絶対に被害を防止することは出来ない」という話でしたし、
例の人が叩かれたのはそれが主じゃ無かったじゃないですか。
それを引き合いに出してトークンの信頼性を貶めるのはミスリードですよ。真面目に言っているんだったら
大いなる勘違いですし、解っててやってるんだったら質（たち）が悪いです。

ちなみにセキュリティ業界の人間としてこれだけは言わせて下さい。
アンチウィルスについては「100%被害を防ぐのは難しい」ですが「無いよりあった方が1000倍まし」ですし、「無意味でしかない」という考え方は
自分だけで無く他人に迷惑を掛けるので至極迷惑な考え方です。せめてMicrosoftがわざわざ
無償で提供してくれている「Security Essential」でもいいから入れて下さいませ。

[Tonia]

詐欺だとか業者だとか、犯罪の域になると一般人の想像を越えていきますからね。
ワンタイムパスがあるから絶対に大丈夫というのは、『俺は詐欺師に会っていても騙されない』と言っているのと同じように聞こえます。

”おれおれ詐欺”みたいな、『被害者が騙されていると気付かないまま実行させる』仕組みさえ作ってしまえばいいわけで。本件で言えば、加害者側がワンタイムパスの時間内に情報入手とログインを行うことが出来ればそれでアウトなわけです。
これは実現の難しさやリターンの少なさがネックなだけで、不可能ではありません。

心構えという意味ではPoiceさんの言うことは間違っていないと思いますよ。

[vbsnbk]

詐欺だとか業者だとか、犯罪の域になると一般人の想像を越えていきますからね。
ワンタイムパスがあるから絶対に大丈夫というのは、『俺は詐欺師に会っていても騙されない』と言っているのと同じように聞こえます。

”おれおれ詐欺”みたいな、『被害者が騙されていると気付かないまま実行させる』仕組みさえ作ってしまえばいいわけで。本件で言えば、加害者側がワンタイムパスの時間内に情報入手とログインを行うことが出来ればそれでアウトなわけです。
これは実現の難しさやリターンの少なさがネックなだけで、不可能ではありません。

心構えという意味ではPoiceさんの言うことは間違っていないと思いますよ。

……悪いけどOTPの仕組みってのをもう一度ちゃんとご確認下さいませ。

言いたいことは解るんだけど、何故BtoCの金融取引でセキュリティトークンが広く採用されているのか、
何故「現実的な最善手」であるのか解っていたらそうは言えないはずです。

追記：
読み直してみたけど、まあ「時間内に～」というのは確かに間違いでは無いですね。
オンラインバンキング等ではいわゆるフィッシングという形でOTPを骨抜きにすることも可能
（ネトゲでは現実的には難しいですが）なので、その辺は言い過ぎでした、失礼。
ただ「心構えとしては間違っていない」のは確かでも、理論が間違いだらけだったら弊害が大きすぎるんですよ。
特にトークンによるOTPがBtoCにおいてコストと効果のバランス的に一番優れているのは確かなので、読む
ユーザが「なんだ、だったらカネがもったいないからトークン導入しないでおこう」という印象を持つのは
最悪なのですね。
なので前の書き込みについては特に訂正しないでおきます。

[Minna]

ログインできてしまえばあとはトークン入力要りませんからログインさえ済んでしまえば被害者が罠サイトで順番待ちしてる間にゆっくり料理できるでしょう。

リアルタイムで被害者待ち、並行作業させたい場合その分ＰＣが必要となるので割にあうかはしれませんが。トークンを過信し業者を甘く見てはいけないと思います

追記）手順６～８っていうのが曖昧だったので

現実問題として、トークン有効期間の30秒でログインまで持ち込めるか、です。
そりゃ以下の項目が全てクリアになっているなら、人が介在するまでもなく可能ですが・・・。

１．パケットが全て解析済み（特にテレポとキャラをターゲット＋取り引き要請）
２．スクリプト言語にてSocketプログラムが気軽に書ける（ウィザード級で）

並行作業で多数のPCはイラナイ。今となってはなんなりと大規模な演算を並列で行うことは可能なんですから。（例：クラウドの中でVMにやらせるとか）
先にも書いたとおり、セキュリティに関しては鼬ごっこですから、トークンを過信するなという思想は大いに有りです。
しかし、現状ではトークンによる自己防衛は十分すぎるほどの堅牢さを誇りますので、使ってない人は使うべきであり、会社としては使うように促すわけです。
今も時折インフォメーションで挙げてますね。

トークンの発生方法や、トークンを用いたセキュリティについて、もう少し勉強してもイイかもですね。

[Poice]

なんだかセキュリティに詳しい人が多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される

（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます


パケット解析？　トークンの仕組みをハッキング？　そんなの必要ですか？

それから一晩考えたら上記フィッシングの手法とは別に罠ツールによる木馬的なハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

[Minna]

なんだかセキュリティの専門家さんが多いようなので下記が現実的でない理由を教えてください

１．なんらかの手段をもちいて偽装サイトに被害者となるユーザー（以下被害者）を誘導する。その偽装サイトはスクエニアカウントのログイン画面を摸してある
２．被害者にログインＩＤ、パス、その瞬間のトークンの値を入力してログインボタンを押させる
３．ログインボタンが押されたら業者にピコンってインスタントメッセージ風にＩＤ、パス、トークンの値が即時通知される

（解説）えーと、ここまでワンタイムパスワード（ＯＴＰっていうのかぁ）はスクエニには通知されていない（未使用）のでまだ有効ですよね？

４．トークンのＯＴＰが有効な内に業者のＰＣで被害者のキャラで１４にログイン

（解説）ＩＤ、パス、ＯＴＰが揃っていてログインできない理由はないと思いますが

５．被害者キャラの全アイテム売却して業者キャラが出品した超ぼったくりゴミアイテムを購入してログアウト

（解説）偽装サイトで何らかの表示でユーザーを足止めしておければその分作業に余裕ができます


パケット解析？　トークンの番号生成をハック？　そんなの必要ですか？

それから一晩考えたら罠ツールによるハックもあれこれ出来るなぁと思いつきましたが上記が否定されたら書いてもいいかな？

１．トークン有効期間が30秒であること　（３～４の間）
２．一人だけをひっかけるならまだしも、複数人からのアクセスがあった場合、人が介在すると時間を要すること（４～５の間）
３．ネットワークにラグはつきものであること（３）

それとも寝ないでずっと通知を見張るおつもりですか？SPAMのようにパカパカ出ると思いますけど。

[Umyon]

最近のアカウントハックに対するゲーム会社の対応って早くなったのですねー
免許書の提示だけで良いのですかー（’’
まぁ被害にあった方からすると１分１秒でも早く対応してほしい気持ちは非常によくわかりますけども

何年か前に別のMMORPGで大規模ハッキング事件があった時に被害にあいましたが
まずは警察に行って被害届を出して調べてもらってその結果をゲーム会社に提示してそれから調査ってなって
補填されるまでに３ヶ月以上かかりましたね
まぁ警察の方とゲーム談義で盛り上がったりしたとかいう話は置いておいてw
それに比べれば今の対応は雲泥の差ですねー
もっと早くなるに超したことはないのでしょうけれど
被害に遭われた方は「自分の認識が甘かった」と反省して今後セキュリティにも気を配るようにしましょう＾＾