pixivに脆弱なパスワードで登録できないようにしました - pixiv inside

図1: 脆弱なパスワードを入力した場合のエラー画面 こんにちは、pixiv開発支援チームのmipsparcです。 パスワード、もしかして使いまわしていますか? 複数のサービスで同じパスワードを利用していると、「パスワードリスト型攻撃」によって不正アクセスの被害を受けてしまうかもしれません。 パスワードリスト型攻撃の被害にあわないためには、ブラウザやパスワード管理ツールで自動生成された安全なパスワードを利用するのが好ましいです。 しかし、実際には多くの人が「使いまわしたパスワード」や「簡単なパスワード」(以下、脆弱なパスワード)を利用していますし、啓蒙活動にも限界があります。 pixivではサイバー攻撃への対策を複数とっていますが、根本的な対策のひとつとして、脆弱なパスワードを新しく設定できないようにしました。 脆弱なパスワードの判定方法 脆弱なパスワードの利用はどのように防ぐことができるで

[FlowerLounge]

ピクシブはパスワードマネージャー使えるログインUIにしてくれ

[vvvf]

実際にはチェックしてないようだがエラーメッセージはSP800-63Bの解釈を間違えている。"Verifierは他の構成ルール(例えば，**異なる文字種の組み合わせ**，一定の文字の繰り返し)を記憶シークレットに課すべきではない"

[kazatsuyu]

Pixivは多くの作家にとって必須のツールになっている上、プレミアム会員やFanboxなど実際にお金が動く仕組みが運用されているのだから、「銀行並のセキュリティ」にする必然性がある

[Fushihara]

1passwordに課金してサービスごとにランダムなパスワード設定するの楽しいです

[kemononeko]

最近やっと秘密の質問を見なくなってきたから、そろそろ大小英数記号強制も無くなって欲しい。

[t-murachi]

HIBP知らんかった。便利な世の中じゃのう(´・ω・`)

[knok]

ユーザーが多いサービスはみな強い認証機構が必要だよ。金銭扱ってなくてもアカウント転売とかも起きうるしね

[misopi]

Pixivみたいなエロサイトに銀行並のセキュリティを誰が求めているのか？勘違いしてるんじゃないか。

[nabeop]

“今回は先進的な取り組みとして、過去に他のサービスで漏洩済みとして公開されている、ハッシュ化*1された漏洩パスワードのリストを使用しました。” ほへー、そんな便利リストあったのか...

[yug1224]

“好ましくない方法としては、「英数字、大文字小文字記号すべてを含む」といった制限を設ける方法があります。” なるほどね。全て含むだけでは強くはならない。

[defiant]

そういうリストが公開されてるのか。実際にもれてるパスワードは使えないようにするというのはいいですね。

[Lagenaria]

乗っ取り対策として必要な措置

[tworks55]

なるほど [セキュリティ][security][password][パスワード]

[amino_acid9]

「漏洩済みとして公開されている、ハッシュ化された漏洩パスワードのリスト（HIBP）を使用」

[efcl]

Have I Been Pwnedのリストをチェックするように

[MnMisato]

興味深い。漏洩した回数が多いパスワードを脆弱なパスワードとして登録できないようにすると。 / “過去に他のサービスで漏洩済みとして公開されている、ハッシュ化*1された漏洩パスワードのリストを使用しました。”

[yarumato]

“漏洩パスワードのリストが提供されているのでそれを利用。漏洩回数が多いパスワード（＝脆弱なパスワード）から段階的に使用できなくする試みを開始。「英数字大文字小文字記号すべてを含む」制限は浅薄”

[hidecharo]

We recommend that you use secure passwords that are automatically generated by your browser or password management tool to prevent damage from password list type attacks.😊

[Chiko_gorilla]

いいですね！こうゆう取り組みがだいじだよなぁ

[khtokage]

1Passwordとかにランダムなパスワード生成させようかいつも迷うけど、最悪、そのサービスが吹っ飛んだら全サービス使えなくなってしまうので、結局自分でパスワードは決めてる。ほんと悩む。

[b-wind]

“FIDOや多要素認証といったパスワードに頼らない認証方法によるセキュリティ強化についても対応していく計画です” ずっと待ってる

[rindenlab]

"ハッシュ化された漏洩パスワードのリストを使用" "安全確保目的でパスワードを保持することに問題はないと解釈"

[urd0401]

そんなことよりもboothとpixivの連携が必須にもかかわらずパスワードが連動しないのを早く直してほしい

[parsec]

"Have I Been Pwned"

[cl-gaku]

入力値の検証に利用して、永続化するのとは別じゃないかな

[oakbow]

これってソルトは使ってないってことなんだろうか。

[K-Ono]

数年単位でログインしてないので安心（でもない）

[Ryanak]

FIDO対応嬉しい

[teppeis]

"Have I Been Pwned" の漏洩パスワードリストと照合する

[chinjaorosu]

いいね、web業界全般に普及してほしい

[braitom]

脆弱なパスワードのチェック方法について。Have I Been Pwnedで公開されている漏洩回数の多いパスワードのハッシュ化リストを使いチェックする方法が書かれている。

[sasasin_net]

「Have I Been Pwned」のリストと突き合わせてるのかな？先行事例があるとは知らなかった。良い取り組み。