パスワードを平文で管理するのはダメだ | ブログが続かないわけ

最近の入門書はとにかくセキュリティ面がおろそか 今日の話は既知の人に取っては当たり前のことばかりなんだけど、こういうことって最近の入門書には書かれていないし、受託案件でクライアントから出てくる要件に含まれていることがほとんどないから、もしかしたら普通にプログラミングの勉強をしているだけでは知らないままになってしまうかもしれないと思って書いてみた。 大手プロバイダで学んだセキュリティの意識 社会人1年目は大手プロバイダで働くことになった。まだ、僕がプログラミングの世界に入る前のことだ。そこでは、お客様からのお問い合わせに対応するというのが僕の仕事だった。当時、お客様を納得させるのがとても大変だった問い合わせが、パスワード忘れに関するものだ。 お客様は、問い合わせさえすればすぐにでもパスワードを教えて頂けるものと思っているのだが、ことはそう簡単には運ばない。 パスワードの伝達手段や、問い合わせ

[tamanekosan]

2007年の記事。「セキュリティと利便性はトレードオフ」なのは今もなかなかご理解いただけないですね。

[desing]

パスワード管理 暗号

[kootaro]

パスワード　暗号化

[S0R5]

けど、PPPの認証にふつうのCHAPつかってたら、平文か復号できる暗号化されたパスワードがデータベースにないとダメ、だよね?確か。

[nilab]

「パスワードを暗号化して保持することに反対するお客さんを多数見てきた」「お客様のパスワード忘れに対して、そんな対応しかできないんじゃダメだと」パスワードを平文で管理するのはダメだ | ブログが続かないわけ

[satakesatake]

お客はセキュリティよりも利便性。

[tofu-kun]

まぁ、それでも未だにお客様からは「不便だ」という声があがってきて、それに対処するのに疲れる。

[kdaiba]

有効期限のさじ加減がまた微妙というかなんというか

[akkun_choi]

「セキュリティと利便性はトレードオフだということ」

[yappo]

「MD5などの復号できない暗号化」Digest::MD5::Reverseでふくごうかでkiruyo

[rev-9]

「お前は俺か」状態です。"パスワード忘れへの対応は、再発行しかなかっただ。再発行手数料は300円で、しかも1週間くらいかかる。当然、お客様は自分が忘れたという事実も棚に上げて、こちらを罵るわけだ。"

[otsune]

この話題でメールアクティベーションのことを「有効期限付きパスワード」と表現するのは混同するので、区別して書いたほうが良いと思う。