おいAmazonがパスワード前方一致でログインできるぞ:アルファルファモザイク

■編集元：ニュース速報板より「おいAmazonがパスワード前方一致でログインできるぞ」 1 アシロ(東京都) :2010/05/26(水) 22:46:43.25 ID:YY8vUbDQ ?PLT(15562) ポイント特典 ゼニタナゴ(東京都) :2010/05/26(水) 22:47:25.00 ID:bJRoOPtq はいはいすごいでちゅね 7 ウミタナゴ(新潟県) :2010/05/26(水) 22:47:27.33 ID:Zq7t6RU8 ログインしたら不正アクセスで逮捕されるの？ 18 ユカタハタ(アラバマ州) :2010/05/26(水) 22:48:27.21 ID:2O/ifdBT つまり実質4桁のパスだってことなの？ 19 ハマフエフキ(長屋) :2010/05/26(水) 22:48:27.77 ID:ZMKJBnMT この家鍵かかって無いですよと言

[youhey]

これと、類似パスワードでログイン可……の脆弱性は同一？

[bearide]

『つーかこれ結局正解パス知ってなきゃ意味なくね？』

[Magicant]

重大なセキュリティホールとは言えないが、なんでこんな仕組みに作ったのか謎。

[terazzo]

暗号化していないとは限らない。シーザー暗号かもしれない。

[MayBowJing]

普通にハッシュ値を保存してたら「元のパスの後方に任意の文字列付与してログイン可能」なんて事態にはならない気がするんだけど基本情報レベルの僕に誰か解説plz: おいAmazonがパスワード前方一...

[asiamoth]

本当だ！ パスワードを 8 文字に設定しておいて、わざと 12 文字分を入力してもログインできる。/ だから「（自分のアカウントに）前方一致でログイン」は合っている。「不正アクセス」とは違う。

[pochi-p]

↓8文字関係無いよ。 / 再設定すると直る模様。 / 『正規パスワード＋α』が通ってしまうのね。「"passwor"って設定すれば辞書攻撃避けれる！」とか思ってる人は被害に合うので要注意。"Sri Jayewardenepura Kott"とかしてる人も。

[sakuragaoka]

へ？ちょっと前のUNIXシステムでは「8文字まで、それ以降は無視」が普通の実装だったじゃん？別にヤバくはないだろ。／関連→ http://goo.gl/NAOK ／8文字かどうかは関係ない。ヤバい実装とは言えないということ

[Soraneko]

おいAmazonがパスワード前方一致でログインできるぞ

[ksd6700]

.

[suikyo]

いや、普通に問題だろ…

[cubed-l]

確かに8文字目までしか見ていないようにみえる。ハッシュしているかどうかは不明

[hanageman]

復号不可+文字数 or 復号可能 or 平文

[mr_mayama]

これ急に直って、正しいパスワード＋文字列ってのでログインできなくなると、今まで間違えて長いパスワードで覚えてた人がログインできなくなる気がする。

[t-tanaka]

想像するに，どんなに長いパスワードでも最初の一定文字数(たぶん8文字)しか見てないんだろう。害はあまりないが，ほめられた仕様ではないな。

[gikazigo]

打った文字列の前方に正解パスが含まれてたら、らしいが本当かなぁ…… RT fumitake1969: おいAmazonがパスワード前方一致でログインできるぞ(アルファルファモザイク)

[ume-y]

「つーことはパスをハッシュで保存してないってことだな 生パスワードで保存してるっことか」

[tsukaban]

再現出来なかった。パスワード短い人が成功してるような気もする

[uunfo]

本当だ。パスワードをそのまま保存しているのか、それともcrypt (DES)なのか。

[rna]

大文字小文字区別なしで8文字目以降は無視ってことみたいね。pwd.substring(0,8).toUpperCase()のハッシュを比較だと思う。/←は古いユーザだけかも。アマゾンのヘルプには大文字小文字区別するようにしましたって書いてあった

[n2s]

問題は既に対策されてるようなので、パスワード更新推奨です→id:entry:21845334

[b4takashi]

確認してないが、もしかしてパスワードをmd5なりで暗号化してなくて、平文で送信しているってことか？そうだとするとかなりヤバい。

[nink]

短いならあれだけど、長いならば…。でもどうなんだろ。

[RM233]

Gmailのアドレスみたいなもんか。 おいAmazonがパスワード前方一致でログインできるぞ:アルファルファモザイク