  |
はてなキーワード: ソルトとは
相変わらず唐突にアニメネタを挟んでくるヒロシのひとりキャンプのすすめであるが
Angel Beats!ときんモザ以外は見てるけど、野球回あったっけ?と思う
Nice boat.回があるアニメの評価はどうなんだろうか
そんなこんなで小雪舞う中、秘密基地を作ろう合宿三日目の焚き火会面々
弓を作ってどうするの?な大和
キャンプ場の守り神可愛い!サウナストーブに置くあの石みたい(ぴちょんくんみたいなアレ、名前なんていうんだろう?)
唐突に始まる歌合戦。普通にルナシー巧いヒロシ。貴重な阿諏訪のAKB(格好良くなってるフォーチュンクッキー)
そして踊り出す楽しそうな大人達。正月特番縮小版の様相を呈していたなあ
次回も目が離せません
それにしても、カレー塩はほんと旨いっすよね。ガーリックソルトも旨いけど
腰パワーがなかなか完全復活しない完全版がディレクターズカットなんだけど、
一昨年に腰パワーゼロになった時と
今腰パワーゼロになった時の自然治癒力の差の違いなのかしら？って思うけど、
前回のパターンならもうすでに直ってもおかしくない状況下におけるこのまだ腰パワーに違和感のある中、
まあ元通りには歩けるようになって結構長い時間毎日のウォーキングの日課の課題の報告をしていいころで、
あの頃に戻れたぐらいの少し遅いペースだけど、
まあ快調に歩けるようになったのよ。
仰向けになって寝ていると少し腰が浮くじゃない、
そうして寝返りを打つと激痛が走るのは相変わらずで、
たしかに
多少はその激痛は直っているのか
だんだんと小さくなっていってる感じはするのよね。
腰パワーの完全復活までには及ばないのよね。
なかなか完全治癒までの道のりは
食は万里の長城を越えるわけない今注文した餃子はどこ？って言ってる場合じゃないのよ。
言い得て妙な感じもするけど、
腰には違和感があって
腰が重い感じがするわ。
明日また腰パワー王のところに
十字キーの上を押したままでいけるように安直な真っ直ぐな道のりで王様の元へいけそうなものの、
いやあれやっぱりバスで腰パワー王のところに通っているとなると
時間が読めなかったので、
やっぱり車で行くに限るわ。
楽チンだしね。
よくよく思ったんだけど、
あれって猫背のアーチ型は腰に直撃の負担を与えないアーチで重さが分散されている発見をしたの。
腰を90度に直角の角度にすると、
腰に直撃する重みの痛みの感じるみがするのよね。
腰に優しい背骨がアーチになっていて、
そこで重さが拡散されていて
大谷翔平選手がこないだ満塁アーチをお見舞いしたのとはまた違う負担だと思うのよね。
あれはあれでスゴかったけど、
直角に曲げずに
よく分からないけど全集中！猫の呼吸！って言いたいだけだから特に深い意味はないので、
ここはサラッと笹舟にでも乗せて川に流してよ！って思うわ。
日頃さ
から揚げ店舗が全店舗何かしらの金賞を受賞しているかのように、
あれはあれでもしかして、
洋服の青山閉店セールって閉店セールって含めるところが正式な店名だったりして！って
そういうカラクリだったのね！
あれはきっとモンドセレクションとか
モンドセレクションって言うと
でもアーって言うのが木の実って意味で、
なかなかそっかアーモンドなのねって木の実なのよ。
木の実ナナさんがあんたもナナって言うんだ！って言いたいぐらいな冒頭のシーンを彷彿させると思わない？
だから、
イコール何かしらのから揚げ協会か何かの参加賞なのかも知れないわ。
金賞ってそしたらどの店舗でも謳えるでしょ？
なかなか考えたわね！
あのからあげクンは
あれはあれで金賞を受賞していないのよ。
それがエビデンスよ。
海老天丼の美味さのエビデンスを求めたら皆海老天丼のプロはどう答えるのかしら？
そう思ったら天丼屋さんは何も金賞とか受賞していないわよね。
世の中何かを謳ったもの勝ちなのかも知れないわね。
世の中の真理に気付いてしまって気付かないふりをしているわ。
うふふ。
美味しいコーヒーにはやっぱり美味しい牛乳を入れなくちゃって思うわ！
今日実感したのよ。
格別だわ。
つぎ再現出来ないのが残念なところでもあるけどね。
そうそう！
人気なのかしら？
並んだらすぐ売り切れているみたいね。
今度見かけたらちょっと多めに買っておこうっかしら。
すいすいすいようび～
今日も頑張りましょう！
私は以前スピリチュアルにはまっていて、総額300万円以上費やしていた。だから小林麻耶さんみたいな人とたくさん会ってきたし、自分もそんな時があった。亡くなった人や聖なる存在（守護霊とか神とかエンジェルとか龍とか）から声が聞こえるとか言って、自分の都合の良い解釈をして人に伝えるのだ。そこには「私はそういう声が聞こえる特別な存在なのだ」という自尊心を高める要素もあり、一度ハマると抜け出せなくなる。私はそういう声を聞くために講座に通ったこともあるし、確かにそんな声が聞こえるような気がして、聞こえた言葉通りに行動したり、ブログに書いたりしていた。すると、ブログでいいねをたくさんもらったり、スピリチュアル部門のランキングに載ったりするようになり、ますますその気になってしまった。ただ私生活ではそのような面はできるだけ出さないようにしていた。変な人と思われるのが嫌だったからだ。
私がスピチリュアルの世界から去ったのは、私生活に影響が出始めたからだ。最初は興味本位で踏み入れていたのだが、入ってしまうとズブズブと抜け出せなくなる。スピリチュアル界の著名人はよく「○○ヒーリング習得コース」などを開き、それを履修すると資格がもらえるパターンがある。国家資格でもないし何の意味もないのだが、ひとつスキルを獲得したようで嬉しくなる。コースは初級は数万円だが、中級、上級となると１０万円、２０万円とどんどん高くなる。彼らはそうやって儲けを出しているのだ。パワーストーンやパワーソルトやアクセサリーなどグッズは尽きず、私も収入の大半をスピリチュアルにつぎ込んでいた。
そうしているうちに、私は自分が「一角の人物」になっているような感覚になった。一般人とは違う能力を持ち、常識の中で生きている人たちを見下すような気持ちになっていった。初めはその気持ちを言葉に出すことはなく内に秘めるだけだったのだが、少しずつ表に出すようになっていった。スピあるあるの一つとして、「本音で生きる」というものがある。周りの目を気にせず、自分の思ったことを話し、思ったとおりに行動すべきだという考え方だ。そうすると宇宙が味方をしてくれる、周りが去っていったとしてもそれでいいという覚悟を持て。こんな教えなので、私は家族や友人にそのような態度で接するようになっていった。そうすると自然に友人たちは私から離れていってしまった。でも私は「理解できる人だけが残ればいい」、そんな気持ちだった。
そんなある日。私が受けていたスピリチュアルの講座で、先生とマンツーマンでセッションを受けていたときのことだった。先生が私に強い口調で説教をし始めたのだ。「あなたほど心の弱い人間はいない」「逃げてばかりだ」などと一時間以上説教をした。初めはそうなのかと我慢して聞いていたのだが、よく考えると私はこの１回90分のセッションで２万円払っている。２万円払って説教するだけ？それっておかしくない？流石に私にも怒りが込み上げてきた。セッションが終わり、一人になって考えみた。何かがおかしい。違和感がある。ここで私はX JAPANのToshiが書いた「洗脳」という自伝を思い出した。Toshiは洗脳側であるMASAYAに散々こき使われ罵倒され殴られてきたのだけど、洗脳が解けなかった。だが「お金を稼ぐためにX JAPANの活動を再開していい」という話をMASAYAから聞いたとき、「結局金かよ」と思い、そこから洗脳が解けたということだった。私もそうなのかな？私は先生のストレス発散と金儲けの金づるとして使われてるだけなのでは？まさか？でもここまでお金と時間を使ってきたのだし、今更・・・。
そんな気持ちにもなったのだけど、私はこのセッションでこの講座を辞め、先生から遠ざかった。そして次に、散々悩んだのだけど、ブログも閉鎖することにした。辞めないといけない、そんな気持ちが強かった。ブログを閉鎖してもGoogleのキャッシュには残るので、それも削除依頼を出した。なんだか恥ずかしくなって、なにもかも消してしまいたかったのだ。ブログをやめたことにより、ブログ繋がりの友人とも疎遠になった。先生とも会わなくなったので、それ繋がりの友人とも会わなくなった。ああ私は一人ぼっちになってしまった。以前からの友人には冷たくしてしまったし・・・。でもこのままではいけないと思い、LINEで謝りのメッセージと、スピリチュアルはやめたことを伝えた。すると、数人の友人とはまた繋がることができた。スピリチュアルグッズは全て捨てた。書籍も全て捨てた。これまでのお金と努力が、とも思ったが、捨ててしまえばスッキリもした。結果、生活にスピ関係のものは一切なくなった。
こんな経緯があったから、小林麻耶さんの陥ってる状態がなんとなく分かる。スピリチュアルは危険なのだ。趣味の一部として軽い感覚でする（パワーストーンを身につけるとか、パワースポットに行くとか）レベルなら大丈夫だけど、大金をつぎ込むようになったり、誰かに説教するようになったら危険水域に達している。でもここまで来ると誰も止められなくなる。スピリチュアルを教えている側は、それがビジネスなので、辞めろとは決して言わない。むしろ、あれをしろこれをしろと、最終的に自身の稼ぎにつながるようなアドバイスをしてくる。けれど周囲はすでに離れてしまっているので、もう止める人が誰もいない。じゃあ誰が止めるのか？それは、自分自身しかいない。Toshiさんもそうだったし、私もそうだった。洗脳に気付けるのは、最終的に自分自身しかいない。だから、小林麻耶さんも、自分が間違っていることに自分で気付くしかない。
では周りの人間は何もできないのだろうか。いや、できることはある。それは、間違ってると気付いた人を、もう一度暖かく受け入れることだ。Toshiさんもその後復帰して素晴らしい活躍をしているし、私自身も友人に受け入れられ元の生活に戻ることができた。小林麻耶さんも、いつか気づく日が来ると思う。数年後とか、もっと先になるかもしれないけど、彼女が気づき、現在のような状態から完全に足を洗い、謝って反省したとき、世の中に彼女を受け入れる優しさがあればいいなと思う。少なくとも私は受け入れたい。私自身もそうだったから。
DBを設計する場合、パスワードのカラムを何文字にするか決めなければならない
これを最大2万文字とかにできなくもないが、DB容量を圧迫するといった理由で8文字や10文字に限定していてもおかしくはない
MongoDBのようなオブジェクトDBなら別だがSQL系のDBならこの理由が最もあてはまりそうに思う
同様の理由で文字種にも制限をかけてそう（UTF-8とか送られたら面倒）
境界値テストとしては最大文字数を試さないといけないが無制限だとそれができなくなる
100文字でテストするとなると、仕様としては100文字が限界ということになって文字数制限をかけることになる
ただ、それなら8文字とかで制限している理由として弱い気がする
無制限ということは極端に言うと1GBのパスワードを受け付ける、ということになる
1GBのハッシュ値を計算するのはブラウザ側になるのだが、1GBのハッシュ値計算が重くて使えない、という苦情が来るかも知れない
ただ、これも1000文字とかにしてしまえば良くて、8文字にしている理由にはならない
ウォーターフォールで実装する場合に上位レイヤでの仕様を決めるのはプログラマーでない場合が多く
定型のエクセル仕様書に「パスワードの最大文字数」というセルがあって、そこにデフォルトで8という数字が入っている
上位レイヤで仮にそこに100とか1000とかの数字を入れたとき、下位レイヤで何が起こるかわからない
つまりそこに8と書いた人が現代にいるのではなく、誰も決定していないから文字数制限が起きている
下位レイヤでの実装側は平文保存の危険性を十分に理解しているのでハッシュ値（とソルトなど）を格納する
多分、仮説４だと思うが、仮説１でないことを信じたい。
暗号化っていうのは
「情報の正しさを照合できる」
っていう技術
なので
っていうのは嘘で
が正しい
平文を暗号化してサーバに保存している場合は、結局は鍵をサーバに預けているので、信頼情報がユーザの手を離れてしまっている
って言われても家の鍵を大家に預けているのと同じ状態で家の中に100億円置いてるような人だと信用に足らない
じゃぁ例えばユーザにその鍵を預けておいて、認証の度に渡すようにしよう！なんていうことをやっても
鍵はデジタル情報だから簡単にコピー可能（追跡不可能）なので一度でも渡したら信用価値はゼロになる
ちなみにこれはハッシュ化でも同じ話で、ハッシュ値をサーバに保存していても平文を送りつけてハッシュ値をサーバで計算していたら意味が無い
ユーザ側でハッシュ値を計算して送りつける方法なら多少は意味があるけれど、結局は鍵がハッシュ値に変わっただけなので通信傍受されたらダメ
なのでダイジェスト認証っていう仕組みを使うので興味がある人は調べて欲しい
ということで、暗号化をしても結局は鍵の扱いに困ることになる
ログインで知りたいのはパスワードそのものではなくて「パスワードを知っているかどうか」だけ
なので、ハッシュ化を使って「パスワードを知っていたらハッシュ値も当然知ってるよね・・・？」っていう感じの認証を行う
ここで大事なのはハッシュ化っていうのは秘匿情報はユーザの側にあってサーバ側に渡していない、ということ
なのでプログラムをこねくり回しても原理的には元のパスワードは分からないしそれが基本
そこに「でも単純なパスワード使ってる人がいるかも？」「使い回している人がいるかも？」っていう悪知恵で攻撃してくる人がいるので
あと、秘匿情報がユーザ側にある、といってもどうせスマホとかPCに保存されているのでそっちをクラックされると漏洩する
なので基本的に鍵は脳内に保存した文字列か生体認証、もしくはデバイス認証を使う
この辺はパスワードマネージャーを使っていてもマスターパスワードが必要になるのと同じ
ここまでがセキュリティ講習の１日目の午前中の話
前提として、サーバ側のDBの中身が漏洩したと同時に、プログラム、設定ファイル、丸ごと全部漏洩したとみなしている。
プログラムがDB上のパスワードをどのように処理してるか丸見えになる。
複合できるということは、プログラムの手の届く場所に鍵があるということ。
その鍵がユーザごとに違っていようが関係ない。そのプログラムを通せば複合できるわけだから。
複合した結果、元のパスワードを「瞬時に」出せる。
その元のパスワードを使って、正規のユーザのフリをして悪いことができる。
さてハッシュの場合、bcryptなどではソルト付きハッシュ値になってる。
ハッシュなので「時間をかければ」、そのハッシュ値になる値を検索できる。
元のパスワードと同一であるかどうかはわからない。（同一でなければバレる可能性が高まる）
ここである程度時間を稼げるので、サーバ管理者側にサービスを停止したり、パスワードを全部向こうにするような時間の余裕ができる
あーーーほ
暗号化しても平分で持ってても、ようはDBにアクセスされてる時点でハッキングされてるわけ。
そんなときに暗号化しておくともしかしたらパスワード悪用される前に時間稼ぎができるかもしれん。
そして強力なハッシュ+ソルト+ストレッチングするっていう、「現代のデファクトスタンダード」な運用なら一番その時間稼ぎができるわけ。
そもそもDBが完全無欠に守れる自身があるなら平分で保存でもいいわけなんだけど、んなわけねーだろ。万が一流出したときのダメージコントロールのためにハッシュカルル訳？ソコンところ理解できてないから、
安全化どうか？みたいなアホな観点でしかものを語れないわけよ。アホたれ
だからパスワードハッシュおもらししたら、直ちにおもらししたことを報告して、その間にハッシュでパスワード解読時間を稼いでる間に、おもらしされたユーザーは万が一他のサービスで同じパスワード使ってるとかいうアホなことしてたら、対応するわけよ。わかる？
まあでも、そもそも他のサービスでもパスワード流用してるタイプのアホは、そんな事しねーよみたいな気持ちもあるな。
そしたらそもそも、平文でほぞんしててもいいような気がしてきたけど、ハッシュで管理してて、アカウントの数が何千万とかあればだよ。
自分のアカウントのパスワードの解読まで一生かかっても作業が回ってこない可能性もあるので、事実上安全っちゃ安全かもしれない。
でもハッキング対象のアカウントが決め打ちでキメられてるなら、スパコンとか使って意地でも特定アカウントのパスワードを割り出すみたいな作業は可能かもれない。
だからってそれは、平文で保存したり、暗号化していい理由には並んと思ってて、
完全に安全にパスワードを管理することは無理だけど、限りなく安全に近い形で取り扱うことのできるハッシュ化(当たり前だけどそこには強力であること+個別のソルと使うこと+ストレッチングが含まれる)をするのは当然であって、
ハッシュが安全かどうかとか言ってる時点で、そもそもの何が問題で、なぜハッシュが良いとされているのか、なぜハッシュがデファクトで使われているのかってのをまるで理解してないと思う
そうやって表面だけの技術情報をなぞっただけでわかったような気持ちで文章書いてる時点で、自分の知識に対する過剰な自信と、慢心が溢れ出してて嫌いです
https://www.itmedia.co.jp/news/articles/2203/15/news172.html
ドコモ・ソフトバンクのパスワード平文提示問題が話題になっていたが、その中のコメントが理解できていないのがで教えてほしい。
「パスワードを暗号化して保持していても、復号できるなら平文保持と同じ」旨のコメントがいくつかあったのだが、これはどういった理由なのだろうか？
暗号化パスワードが流出しても、十分な強度を持った暗号化方式を利用している限り、鍵が分からなければ復号できないはずだ（方式によってはIVも）
この鍵が容易に解析できるといっているのだろうか？
それとも、サーバで保持しているであろう鍵も盗めるからダメと言っているのだろうか？
そうであればそれは鍵の管理方法次第で、プログラム内に保持しているもしくはユーザ情報(ネットワーク認証コード等)をもとに毎回生成している等であれば問題ないはずだ。
メモリ上の鍵や生成方法も盗まれるからダメという話であれば、それはハッシュ化したところで同じ問題が発生するはずだ。
ハッシュ化されたパスワードでも、ソルトやストレッチング回数を盗みさえすればある程度時間をかければデハッシュできてしまう。
「DBファイルの暗号化ファイルが平文ではないという話をしているなら、ハッシュ化の話をするべきだ。ハッシュ化こそが大事であって、これを書かなくては駄目だ。ハッシュ化の話をすれば、それでいい。だけど、レイボーテーブルやソルトの話はしなくてもいい」
本当にそう書いてるならそれを引用すればいいのに、さっきから「こう言われた」っていう自分の解釈ばっかり
blueboyってほんとしょうもないね
＞ ってことでいい？
全然ダメだね。勝手に歪曲している。（誤読して改変している。）
だ。これに対して、
「DBファイルの暗号化ファイルが平文ではないという話をしているなら、ハッシュ化の話をするべきだ。ハッシュ化こそが大事であって、これを書かなくては駄目だ。ハッシュ化の話をすれば、それでいい。だけど、レイボーテーブルやソルトの話はしなくてもいい」
「ハッシュ化だけじゃ駄目だよ。レイボーテーブルやソルトまでやらないと、十分ではないよ」と教えてから、「だけどブコメでは字数制限があるんだから、書けなくても仕方ないね。それはおたがいさまだよ」
と教えて上げている。
なのにきみたちは、「100字以内で ハッシュ化と レイボーテーブルと ソルトまでわかりやすく説明しないやつは、ど素人だ」と文句を言っているんだよ。自分のことを棚に上げて。
パスワードのハッシュとか管理者による文字列のソルトとかに加えて
