Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION

前の記事 「自由なネット」で親米政権が弱体化：米国の矛盾 Amazon：「類似パスワードでもログイン可能」問題 2011年1月31日 IT コメント： トラックバック (0) フィードIT Dylan Tweney ネバダ州のAmazon倉庫で撮影。Scott Sady/AP. Amazon.comのパスワード・システムに問題があり、実際のパスワードに近い「類似のパスワード」でもログインできることがわかった。 この問題は、パスワードの大文字と小文字の違いを見ず、また、8番目の文字の後に別の文字を付け足してもログインできるというものだ。たとえば、パスワードが「Password」だったとしたら、"PASSWORD" "password" "passwordpassword" "password12345"等でもログインできる。 この問題は、最初Reddit上で報告された。 Reddit上では、

[oirano]

生年月日をPWにしてる人もいるというのに、反応が過敏すぎではないか？とも思う

[damae]

今時こんなことをあのamazonがやっていたってか。笑いものだなっていうかクラウドサービス乗り出すとか言ってたのはダメだろなこりゃ

[gallu]

「パスワードを保存する前に、大文字に変換し、さらにUnixの「crypt()」で暗号化していたのではと推測されていた」どんだけ～～～、な実装 orz

[YAA]

Amazon.comの方はかなり古いはずだけど確認したらそんなことなかった

[yuchi]

知られてない「Reddit上では、サーバーにパスワードを保存する前に、大文字に変換し、さらにUnixの「crypt()」で暗号化していたのではと推測されていた。crypt()では、8文字より長い部分については無視して暗号化する。」

[amadeus]

うっひゃー．/Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION

[kurumigi]

『大文字と小文字の違いを見ず、また、8番目の文字の後に別の文字を付け足してもログインできる』『新しいパスワードには影響せず、数年間にわたって変更されていない古いパスワードに影響』／crypt(3)か…。

[vanjac]

Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION

[drumsco]

これヤバイでしょ。jpサイトでも同じ問題が発生してるみたい。amazonアカウントを持ってる人は、急いでパスワード変更を。

[kazutanaka]

amazon開業は1995年、md5発表は1991年、sha1発表は1995年、cryptは1970年代？

[prozorec]

アメリカのアカウントも変えておいた。アメリカのアカウントは、そういえばしばらく使っていないなー

[wasai]

さくっと変更しておきました

[t0mori]

くわばらくわばら。

[mode_mini0312]

hatebute / Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION

[junta1999]

めんどっちーなー

[shukaido170]

さすがAmazonさん。パスワードを多少間違えたり忘れてもログイン出来る親切設計だったんだね。

[Marin_MTB]

Solarisのsu認証も8文字目以降何入れてもOKだったなぁ。

[at_yasu]

Amazonさんが大文字小文字無視の8文字制限というゆるいパスワード保存をしてたみたい。パスワード変更をしませう。

[phound]

ああなんだそういう事か 『つまりAmazon社は、新しいパスワードに関しては問題を修正したが、既に保存されていた古いパスワードについては更新していなかったようだ。』

[n2s]

それ8ヶ月前にid:entry:21834298で話題になってたよね？8ヶ月前に見たわー / てことで確認＆変更しましょう。

[JULY]

パスワードの９文字目以降が無視される問題。懐かしいなぁ。20 年近く前の UNIX でそんなことがあったなぁ。

[wogu]

これはやばい。最初8文字以上無視されるだけかと思ったら，8文字以内でも大文字小文字区別してないよこれ…。変更しませう。

[shiganet]

RT http://eeg.jp/PeNl Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION

[MinazukiBakera]

だいぶ昔に議論したような気がする話。

[syuu1228]

えーえーえーえー Surfing: "Amazon：「類似パスワードでもログイン可能」問題 | WIRED VISION"

[deep_one]

現在公開サーバーに置いているものではないが、前に使ったウェブアプリがそういう仕様になっている事に気付いた事があるな。／試しに先頭8文字だけ入れてログインしてみればいいのか。／というか、日本はどうなの？

[Sixeight]

ひゃー

[bb_river]

結構前に話題になってたと思う/DESのcryptだと確かに最初の8文字しか使わないが、本当にそれが原因なのか

[doxas]

なにがすごいってこの画像から伝わってくる哀愁がすごい。

[IGA-OS]

お早めに対応ください。