パスワードをハッシュにしてDBに収納って無意味では

質問

PHPとMySQLを勉強中のものです。

　教科書本の中でサイトへのログインパスワードなどは、ハッシュにするなどしてデータベースに入れた方が安全だとありました。

　ハッシュにするというのは今では当たり前のようですが、これって意味あるのかな？という疑問もあります。

　おそらくデータベースがハッキングされるなどして覗かれた時にパスワードを漏らさないためだと思うんですが、そもそもデータベースがハッキングされてる時点で終わってますよね？

　サイトへのログインなんてしなくても、直接データベースを触れる状態なんだから、ログインパスワードなんて必要ないと思うんですが…。

　データベースそのもののパスワードをハッシュ化してどこかに収納するというなら分かるんですが、データの一部でしかないログインパスワードをハッシュ化して意味あるんでしょうか？

回答No.4

pringlez

被害の拡大を防ぐために、取れる対策は出来るだけやっておきましょうということです。対策は何重にも行った方がより強固になります。

分かりやすく言えば、銀行が「通帳と印鑑は別々に保管しましょう」と呼びかけているのを、「泥棒に入られることが前提なら、別々に保存しても同じなのでは」という問いと同じでしょう。

もちろん、そもそも侵入できないように対策するのが一番ですし、そのための対策も行うべきでしょう。しかし万が一入られたときでも、印鑑が見つからなければ被害の拡大を小さく抑えることができるわけです。

システムに関して言えば、現実に発生していたのはSQLインジェクションによる情報の取得です。最近はあまり聞きませんが。UPDATEやINSERTも出来てしまうケースもあれば、SELECTしか出来ないケースもあります。そしてSQLインジェクションによってパスワードを含む情報を取得されたときに、その後アカウントののっとりができるようになります。

例えばオンラインゲームだったら、レアアイテムや仮想コインを別のアカウントに移したりできます。証券口座やFXの口座などなら任意の銀行口座を指定し出金することも出来ます。この場合、正常に見える処理が行われているので、顧客からクレームがあっても原因の特定が困難で対応が遅れます。

しかしパスワードをハッシュ化しておけば、アカウントののっとりは出来ず、せいぜい個人情報の漏えい程度で済みます。

上記では実際に発生したケースがあったのでSQLインジェクションを挙げましたが、システム開発会社のSEが持ち出すかもしれませんし、サーバーリプレイス時に処分したHDDから情報を盗み取られるかもしれません。サービスを提供する会社は、定期的にパスワードを変更するようお知らせをしたりしますが、ユーザーは無視して使い続けることが多いでしょう。ですので、多少古いメディアから抽出した情報でも、現在稼動しているシステムで使用できるパスワードが含まれている可能性は十分にあります。

これについても、情報の持ち出し、破棄HDDからの盗み取りが出来ないよう対策を執るべきですが、万が一もれたときに被害の拡大を防ぐことが出来ます。

あともう一つ重要な点もあります。「取れる対策は出来るだけやっておく」事自体にも重要な意味があります。

「ユーザ情報が漏洩し個人情報が販売されました。その上パスワードをハッシュ化していなかったためにアカウントののっとりが発生し被害が拡大しました」と報道されるのと、「ユーザ情報が漏洩し個人情報が販売されました。しかし、パスワードをハッシュ化していたために被害の拡大を抑えられました」と報道されるのでは、どちらが社会的な信用の低下度合いが大きいでしょうか。

対策を何一つとしてやろうとしていなかった会社と、やろうという姿勢はあったが不十分であった会社。この印象の差は大きいと思います。

お礼

お礼が大変遅れて申し訳ございません。

　確かに情報を手に入れても使えなくては意味が無く、パスワードのハッシュ化で乗っ取りまではできないようにしておけば、その間に対策を取る時間は作れますよね。

　やはり、個人でやってるサイトと、企業などのサイトでは、考え方が違います。

　ご回答ありがとうございました。

回答No.3

notnot

例えば、銀行のデータベースの中身が流出したとして、口座番号、氏名、残高などの情報が漏れますね。でもばれるだけ。もちろんそれはそれで困りますが。
ログインID、パスワードまで漏れて、漏れたことがわからないと、ログインして送金など出来てしまいます。

中身流出だけじゃなくて、更新し放題の情況になるように侵入された場合は、確かに意味無しです。

あと、パスワード以外は、仮に暗号化しても復号可能なような暗号化しかできません。中身がわからないと使えないので。
パスワードだとハッシュ、つまり、復号不可能な暗号化が可能なのでしていると言うこともあります。

お礼

お礼が大変遅れて申し訳ございません。

　乗っ取られたときより、漏れたときのことを考えれば確かに必要ですね。

　ご回答ありがとうございました。

回答No.2

chie65535

＞おそらくデータベースがハッキングされるなどして覗かれた時にパスワードを漏らさないためだと思うんですが、そもそもデータベースがハッキングされてる時点で終わってますよね？

ですね。「外部からの攻撃でデータを抜かれる」ってのは「それ以前の問題」ですからね。

なので、パスワード等を「読めなくする意味」は、内部の犯行でデータが漏洩した場合の被害を最小にする為と、内部の人間が顧客に成り済まして顧客のIDとパスでログインしたりと言う事が出来ないようにする為です。

「社内の人間が全員すべて善人」とは限りません。

リストラの腹いせに、辞める直前にデータベースをコピーして持ち出して、名簿業者に売ろうとする者が居ないとも限りません。

お礼

お礼が大変遅れて申し訳ございません。

　なるほど。
　趣味でプログラミングをやっていただけなので気づきませんでしたが、内部の人間がってこともありえますよね。

　確かにそれを考えると、ハッシュ化は無意味どころか必須と言えます。

　ご回答ありがとうございました。

回答No.1

t_ohta

そのログインIDとパスワードが他のサービスでも使いまわされていた場合、二次被害を生む可能性があります。

情報漏洩の多くは内部犯によるものです。
顧客のパスワードを盗み出して、他のサービスにログインして悪さをするような事が出来ないよう対策するには、顧客が設定したパスワードを分らなくしてしまうのが一番です。

お礼

ご回答ありがとうございます。

　なるほど。
　ハッキングされたデータベースはもう捨てるとしても、顧客が別のサイトなどでパスワードを使いまわしていたことを考えて、ハッシュ化しておくわけですか。
　それなら充分、意味があります。

　Webサービスを扱うには、自分のことだけを考えていてはダメということですね。