Yahoo!のメールによるパスワードリセットのリスクと緩和策

Yahoo! Japanのパスワードリセットにはメールで確認コードを受け取るという方法が選択できますが、確認コードが数字6桁であり、総当たり耐性が低いという問題があります。 以下、テスト用のアカウントを用いて、パスワードリセットの手順を説明します。 Yahoo!のログイン画面から、「ID、パスワードを忘れた」→「パスワードを忘れた」というリンクをクリックすると下記の画面になります。 以上で、パスワードが再設定できました。 上記の手順を攻撃する場合、攻撃者が知らなければならない文字列は下記となります。 Yahoo! ID 登録済みメールアドレス 確認コード（数字6桁） Yahoo! IDは公開情報ですし、攻撃者が登録済みメールアドレスを推測できる場合、残りは確認コードの数字6桁ということになります。これは5回間違えるとロックされるようで、確率20万分の1で突破される計算です。 数字6桁という

[deep_one]

5回の失敗でロック（20万分の１）なら良いかと思ったが、徳丸さんの基準ではもっときつい方がいいんだ（笑）／まぁ8桁で作ってもシステムの難易度は変わらないからな。

[oppara]

Yahoo!のメールによるパスワードリセットのリスクと緩和策 | 徳丸浩の日記

[ROYGB]

誰かが勝手にリセットをしようとした場合にはメールが送られてくるので発見はされやすいような。

[takhasegawa]

yahooは爆速を掲げているので、新機能開発だけでなく、セキュリティ問題も爆速で修正していただきたいですね

[ockeghem]

『Yahoo! Japanのパスワードリセットにはメールで確認コードを受け取るという方法が選択できますが、確認コードが数字6桁であり、総当たり耐性が低いという問題があります』