2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理推進機構

「今月の呼びかけ」一覧を見る 第15-10-335号 掲載日：2015年 7月1日 独立行政法人情報処理推進機構 技術本部 セキュリティセンター (PDFはこちら) 「秘密の質問」とは、「質問」とそれに対応する本人しか知らない「答え」を設定し、パスワードリマインダやインターネットバンキングでの本人を確認するための機能です。例えば、パスワードリマインダで利用する場合、あらかじめ「質問」と「答え」を設定しておくことで、パスワードを忘れた際には「秘密の質問」によって本人確認をします。しかし、「秘密の質問」のみで本人確認とすることにはセキュリティ上の懸念があります。 2015年5月、Google社が「秘密の質問」に関する研究結果を発表したことが報じられました※1。それによると、「秘密の質問は、それ単体でアカウント復旧の仕組みとして使用するには、安全性も信頼性も十分ではない」とされています。 201

[Fushihara]

カモしれない を使って文章を作りなさい。→「セキュリティの問題がアタカモしれない」

[ockeghem]

秘密の質問の答えには「カモしれない」を追加すれば良いのですね。覚えました 例:「好きな鳥は?」「鴨カモしれない」←違うからね!

[pochi-p]

サンプルがちょっと…。「あなたの好きなくだものは？」の答えは「生命維持装置付き椎茸みかん鴨８匹虐殺滅べ秘密の質問」とか、見た人がそのままコピーしなさそうな共通フレーズの方が良さげ。

[QJV97FCr]

はてなスター欲しいカモしれない

[coppieee]

そもそも秘密の質問を廃止すればいいカモしれない

[kamei_rio]

辞書攻撃ができるような答えを入れたら話になりません、を周知プリーズ

[vifam84]

「小学校の時の担任は？」→「卒業後覗きで逮捕」って設定してたことならある。あ、いけない、「逮捕されたカモしれない」

[tatuya954]

「みかん…あれなんだっけ、終わりになんか入れたんだよな…あれ、なんだっけ。」難民続出。

[n2s]

うーん… / 某銀行と某銀行が3つも秘密の質問要求してログイン時に2つ要求してくるのほんとめんどい。

[dorje2009]

「問１）「あたかも」を使って短文を作りなさい。答え：冷蔵庫に牛乳があたかもしれない」を思い出した

[maeda_a]

“「秘密の質問」のみで本人確認とすることにはセキュリティ上の懸念があります”

[takc923]

カモしれない とか設定して覚えてる人はパスワード忘れんやろ

[moerrari]

http://gigazine.net/news/20150709-research-secret-question/ のブクマコメントより。秘密の質問や合言葉のセキュリティ上の問題に対する対応策。答えの文字列に共通フレーズを追加する。

[minamijoyo]

秘密の質問とかホントまじで滅べばよいと思う

[muvoiaia]

声出して笑ったｗでもまぁ、ありよね

[ahmok]

合わせて読みたい：Google：新リサーチ:「秘密の質問」を問い直す http://googledevjp.blogspot.jp/2015/07/blog-post_8.html

[causeless]

"@tetsutalow そもそも秘密の質問なんて禁止したい / “2015年7月の呼びかけ「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」：IPA 独立行政法人 情報処理…" via https://twitter.com/tetsutalow/status/616375945809649664

[KoyaM]

狙ってるだろｗｗｗ

[tukanana]

秘密の質問の脆弱性。そもそも秘密の質問を固定的に認証に組み込むポリシーが脆弱なんじゃないかと小一時間(ry

[tetsutalow]

そもそも秘密の質問なんて禁止したい

[hyuki]

「秘密の質問」の答えはいつも、十分に長いランダムな文字列をSHA-2にかけて作っている。

[yhys07]

辞書攻撃されないように文章を入れることにしている。「好きな果物は？」→「レロレロレロレロ」

[nakag0711]

馬鹿げてるよなあ

[ozuma]

こういうの、質問をガン無視してランダム文字列しか入れてない。

[yogasa]

この回答、IPAでみたカモしれない / 質問に全く関係ない回答設定した挙句忘れることがたまに……

[arakik10]

本人確認のための「秘密の質問」への回答の作成時における工夫の仕方

[theatrical]

秘密の質問の回答には、可能な限り最大長のランダム文字列を入力している。あんなセキュリティリスクを増大させる効果しかないものが、世間でひろく使われていることに怒りを感じる

[rerofumi]

なんでこんなのが流行っちゃったんだろうね

[techboon]

これ用のパスフレーズ覚えといて、質問項目に関係なくそのフレーズ突っ込んでる。

[ahiru_z]

“「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」”

[koyancya]

みかんっぽい何か

[shioki]

“「秘密の質問」では事前に設定した「質問」に対応する「答え」を入力するだけで本人確認ができるため便利です。しかし、「質問」によっては、第三者でも「答え」を推測できてしまう場合があります”