この手の事件で「パスワードを平文で保存する」というのは致命的で、もっと大きく取り上げるべき内容のはず。しかし、今回の事件でそこまで強い表現にはなっていない理由は?
この記事は会員限定です。会員登録すると全てご覧いただけます。
Twitterが2018年5月2日、全てのTwitter利用者のパスワードが危険にさらされた可能性があると発表しました。
全利用者のパスワードが「平文で保存される場合がある」としており、全てのユーザーに「パスワードの変更を検討するよう呼びかけました。この呼びかけは、同社がTwitterのスマートフォンアプリの起動時に全画面で表示しており、読者の皆さんにも検討することをお勧めします。
さて、ここまで読んで、ちょっと違和感を覚えた人もいるのではないでしょうか。本来、この手の事件で「パスワードを平文で保存する」というのは致命的で、もっと大きく取り上げるべき内容のはず。しかし、今回の事件に関しては、そこまで強い表現にはなっていません。「平文で保存される“場合がある”」「パスワードの変更を“検討”せよ」という、わりとフワッとした内容にとどまっており、そのことを指摘する人も少なくないようです。
しかし、私はこの件に関してはむしろ、Twitterを「褒めたい」と思っています。
今回の事件は、記事のタイトルだけを見ると“とんでもないもの”に見えますが、内容をよく見ると、また違った印象を受けるはずです。
通常、パスワードやクレジットカードの情報などは、何も処理しない平文のまま保存するのはリスクが高いため、「ハッシュ化」と呼ばれる処理を行います。ハッシュ化とは、あるルールに従って文字列を変換する仕組みです。暗号化とは違い、変換された文字列を元の文字列に戻すことはほぼ不可能なので、流出した場合のリスクは低くなります。Twitterもパスワードはbcryptという手法できっちりとハッシュ化して保存していることが明らかになっています。そのため、パスワードの保存方法自体に問題はないでしょう。
今回の問題は、そのパスワードの保存処理を“記録”していた部分にあります。利用者認証の処理部分ではなく、ログを記録する部分において、利用者が入力したパスワードそのものがハッシュ化されずに平文で保存されていました。これは想定していない不具合だったため、今回、Twitterが修正し、発表したわけです。Twitterによると、そのログ自体は流出した形跡はないということでした。つまり、
ということになります。それならパスワードは漏れていないに等しいですし、実際の被害はまだない、ということになります。
つまり、事件の原因となった不具合は問題ではあるものの、被害が出ていなくてもしっかりと利用者に報告した立派な事例といえると思うのです。
また今回のような「ログにまつわる不具合」は、実は最近、散見されていて、実際に被害が出ている事例も少なくありません。例えばクレジットカードの裏面にある「セキュリティコード」(CVV)は本来、システムで保存してはならないとされています。ところが、これが流出する事件が目につきます。中には、システム上は保存しない仕組みにしているにもかかわらず、ログという形で記録されており、それが流出してしまう場合があるのです。
この場合、運営者は「記録していないはず」と思い込んでいるので、なかなか不具合を見つけられません。今回のTwitterの対応では、そうした「なかなか見つからない不具合」を見つけた上で、しっかりと利用者に報告しているわけですから、この点でも「褒める」に値する行為といえるのではないでしょうか。
Copyright © ITmedia, Inc. All Rights Reserved.