January 22, 2005

ゴルフ場の電子ロッカーからキャッシュカードを盗んでスキミングをし、現金を引き降ろすという泥棒のニュースがあったが、

・ゴルフ場の経営者？社員？が協力し、マスターキーを渡して空けていた。
　サーバのroot権限を教えたようなもの。

でも、なんらかしらの手段でロッカーの暗証番号を取得し、その番号を使ってお金を降ろしていた。そこでは、

・キャッシュカードのパスワードは、ロッカーのパスワードと同じな人が多い。

この問題は会社一社で考えれば済むというもレベルではありませんね。

当然、こう考えるべきでしょう。

「パスワードのフォーマットが同じであれば、あるサイトに入れたログインIDとパスワードは、他のサイトでも同じである。」

なんの制限も設けてないシングルサインオン。それが現実でしょう。
この問題は会社一社で考えれば済むというもレベルではありませんね。

おそらくアマゾンや楽天規模のサイトが、サービス向上のために個人認証の仕組みを取り入れることで普及していくというパターンが一番可能性があるかなぁ。

NTTコムはICカード、MSはパスポートなんてのもありますね。この辺、すっかり忘れられてるけど。ICカードリーダーを配らなきゃいけないとか致命的な不便が、Webの「今使えること」というニーズに負けているので普及しませんね。PCに標準バンドルするとか、PC/AT仕様で個人情報保護向けプロファイルを設けるとか、そういうのも必要だと思いますが。

いや、ほんと決済、認証、ショッピングカート、セッションの部分はセキュリティフレームワークとして業界標準を作らないとダメだと思いますって。

とりあえず僕が設計する場合は、どなたかがblogで書いてたのを参考に、データベースに保存するパスワードは、運営者側もわからないように暗号化して保存することを勧めています。ゴルフ場の事件のように、ソーシャルハッキング？みたいな事態は避けられますので。

ただ、それでもアプリケーションサーバのデバッグログにはモロ残ってたりするんですけどね･･･。そんなログ残すなって（ｗ　＜これが問題。