  |
はてなキーワード: 認証とは
おそらく同世代の多数と同じように身内年配のパソコンスマホの介助をやってるわけだが、ネットサービスのアカウントのID・パスワードを共通にして推測されやすい物をメモ帳に書いていて頭を抱えている。
流石に危なっかしくてやんわり口を出すのだが、具体的にどういうリスクがあるかうまく伝えられず、その時はその時だろ的に聞き流されてしまう。
俺が昔アカウントを勝手に使われた被害の実例を言ってもそういうこともあるよねーと梨の礫である。
iOSのキーチェーンなどのパス管理の使い方を何度教えてもすぐ忘れてしまうので流石に心が折れている。
そう考えてみれば
同じ端末で他人のIDに変えるって行為について、もう少し違う観点が持てるだろ？
２つあるようだ（ｷﾘｯ
とかならんのよ
２回の認証なんて発生しないのな
別のアカウントに切り替えるって時に、そのままシームレスに他人になるとかアリエナイだろ？
結構面倒くさいよな？
問題はこれを「そんなこと知らない」人に提供しなきゃならんことで
【ＵＩをかいぜんしよー】
とかそんなレベルの話じゃないんだよ
嘘松くん
そういう話じゃない
「普通は」
そこでログインしたら、マイナンバーについての情報はそこから取得する「べき」なんだ
そのままBさんのマイナンバーに関する情報を扱える（入力できる）としたら
それは設計が狂ってる
それがキャッシュ経由かなにかで行えてしまってるとしたら、画面だけ直せばいいとかいう問題じゃない
ポータル使ってAさんでログインした後、Bさんになることは、「あっちゃいけない」
BさんはBさんでログインして、リソースを参照する認証を得なきゃいけない
お前SEじゃないだろ？
マイナンバーカードの仕組みや存在意義そのものの問題点とは別で。
マイナポイントの誤給付とか保険証との紐づけミスが表面化してきたことについて、少し調べて気が付いたこと。
【検証」
「自分のマイナカードでログインする」⇒「そのまま協力者（別人）のカードで保険証の登録状況を確認する」
協力者の紐づけ状況が確認できた後、マイナポータルのログイン情報を確認すると私のものだった。
つまり、2つの認証はシステム的に別物で、それも複数並列で存在してる。
人生の中で1回だけ不慣れな画面を触ってみるというレベルでは意識すらしないと思う。
書き方を変えると
Aさんのカードでマイナポータルにログインする⇒「今からAさんの情報を使って作業をしますよ」
Bさんのマイナンバーカードの作業をする⇒「【Aさんの情報のまま】Bさんについて作業をしますよ」
という事態が発生しているということになる。
◆根本原因
この問題最大のポイントはそんな認証状況ではなく【作業内容が一切確認できない】画面設計だと感じている。
・作業中の現場の端末に、「現在ログインしている人物の名前」が一切出ない。
・カードの認証時に「このカードはＸさんのものです」という情報が単発で出る。
この2点が「さっきからこのカードで認証している」という認識だけで、システムの把握しているパラメーターを「推測」しつつ作業を進めさせる。
また、ブラウザを落とすとログアウト状態になるが、ブックマークや履歴から戻ると、ログイン状態を保持したままになることが多かった。
何度か試すとキャッシュを拾ってログイン維持中にログアウト状態を示す画面になることもあった。
これだとなおさら、気が付くのは不可能になるし、一生に1回しか見ない画面で異変に気が付ける人間は少ない。
結局、職員だろうが一般ユーザーだろうが、何をしているか最終確認さえできれば問題は起こらなかった。
だから、手続きの最後に情報を並べて、これでいいですか？と確認させるのが最も効果的だ。
冷徹な言い方をすると、
個別の紐づけ作業を行う画面で個別の情報が表示されていないという、なんとも間抜けなUI設計と
そして理解できないから丸投げGoサインのハンコを押した省庁の引き起こした
今回のこれ以外でも、母体だけ大きな企業が日本に大迷惑をまき散らした例は少なくない。
政治力と入札のノウハウに突出した企業だけではなく、きちんと現場が見られる中小零細企業が活躍できる機会が創作できれば、とくにシステム界隈に関して日本は大きく飛躍すると思いたい。
CCC以外にも使われている株式会社オスティアリーズの「着信認証」が脆弱性を以前から認識していながら隠しているのが悪いと思うが、CCCからは一切回答をいただけなかったため、このタイトルにした
080-1234-5677というありえない電話番号をもつアカウントを同様の手法で用意して、それをのっとるデモ動画
https://streamable.com/z99sw0 (動画は48時間で見えなくなるので注意)
→ IPAに連絡しても「自分の別アカウントを『乗っ取る』PoCをすること自体が法的リスクが〜」と以前言われて報告を受理してもらえなかったので、使えないと判断した
→ そうかもね
早く買いたいときに限って、おじいちゃんに認証ボタン押してください→どれ？これ？→そうです→なかなか認証しない→店員が押す
見たいな流れをされると早くして！って言いたくなります。
PCの中だけは自由にできるので、音源とか映像でデータ購入できるものは全て買ってる。
そういうオタク結構いると思うんだけど、もうぜんぶデータを販売してくれないかな、ってすごく思ってる。
特に映像。アマプラとかで購入できるのはごく一部。レンタルしかないのはやむなく見たいときに都度レンタルしてる。
意味分かんないのが、ブルーレイって「個人消費のためでも」円盤からリッピングすること自体が違法化されてんのよ。
こちとらオタクの矜持として、払えるもんは払うし違法行為には一切手を出さないポリシーでやってる。
音楽はCDからリッピングとかコピーするのは（個人消費に限り）レンタルだろうと友人から借りたのだろうと合法なので
ちなみに正当に対価を払いたい欲があるので、できるだけ新品購入してるよ。すぐ手放しちゃうの悲しいけどな。
ブルーレイだとリッピングそれ自体が違法だからこの方法が使えない。
もう本当に価格とかどうでもいいから（円盤と同等かむしろ高くてもいい）データで売ってくれよ。
データで売ってくれたら絶対に配布したりできないようにセキュリティかけたっていい。
CDとブルーレイでルール違うのおかしいだろ、って騒ぐと、じゃあどっちも違法に揃えるかってなりそう。クソだわ。
いちばんクソなのは違法アップロードしたりそれを見たりしてる奴らなのは知ってる。
個人消費のリッピングまでガチガチに法でガードする前に、そいつらを厳しく取り締まれよ。
YouTubeを小一時間くらい漁れば死ぬほど検挙案件あるぞ。
国家権力はそっちを頑張って善良オタクの楽しみを守ってくれよ。
