秘密の質問「母親の旧姓」、読めないんですけど……

ask.fmで「初めて観た映画のタイトルは？」なんていう質問が投げかけられる話が盛り上がっています。これは……どうやら、特定のWebサービスの「秘密の質問」そのもののようです。 ask.fmという、個人に対してインタビューや質問を匿名で行い、その答えを公開するというWebサービスがあります。読者の疑問に気軽に答えることができるため、多くのネット有名人が利用しているようで、Twitterのタイムラインにもその内容が流れてくるのをよく見ます。 ところが、そこにちょっと気になる質問が投げかけられるという話が盛り上がっています。気になる質問とは「初めて観た映画のタイトルは？」「初めて飛行機で行った場所は？」「初めて遊びに行った海の名前は？」「十代の頃の親友の名前は？」……。どこかで見たような質問ですね。これはどうやら、特定のWebサービスの「秘密の質問」そのもののようです。

[hhungry]

ゆうちょログインする時に毎回のように「初恋の人の名前」を訊かれて心がえぐられる。勘弁して欲しい･･･

[mugi-yama]

「母親の旧姓は？」「一尺八寸です」「読めない…」ていう話かと思ったら違った

[Fushihara]

仮にDB上で完璧なハッシュ化が行われていたとしても、ペットの名前なんて物は秘密にする物じゃないのでパスワードと同レベルの認証に使うことが根本的に間違い。

[JULY]

まぁ、自衛策としてはそうなんだけど、秘密の質問に答えた後がどんな手順かが重要。例えば、答えたあとに、登録済みのメールアドレスに一時 URL が送られるならいいけど、指定したアドレスに送れる場合は危険。

[nyokkori]

本当これ。秘密の質問とかいうちょっと調べたらバレそうなクソシステムは一刻も早くホビロン。母親の旧姓とかママンにパソコン開けられてエロサイトの履歴とか見られたら怖いでしょう？

[tarchan]

＞「秘密の質問」を強要するサービスを、セキュリティレベルが低いかもしれない、と警戒するようにしています。

[honeybe]

秘密の質問に対してhash値を登録する。という人を知っているのでそういう話かと思ったら大体合ってた。

[call_me_nots]

”Twitterにおける「きょう誕生日の人RT」「#ペットの名前」などというものにも反応してはいけません”

[multi12]

好きなプロ野球チームすらSNSで書くのはヤバいのかもしれない。（どっかの秘密の質問で見た）

[hobo_king]

秘密の質問を「若さ　若さってなんだ」に統一して、回答の内容と含めて二重の意味で「あ、これ漏洩事故起こしても（原因とか根本的な問題を）振りむかない系だ」と利用者が思い至るように作り変えよう。

[mahbo]

「この部分をきっちりソルトを加えてハッシュ化して……という安全策に考えが回るのであれば、そもそも秘密の質問などという仕組みを採用しないでしょう」同感

[moerrari]

秘密の質問、合言葉認証はセキュリティに問題があるとする記事。この対策としてはパスワードと同じくランダムな文字列を設定すること。

[smura0]

あるある。“「秘密の質問」を強要するサービスを、セキュリティレベルが低いかもしれない、と警戒する”

[a-ki_room]

「秘密の質問」はよくないシステムだと思う。 半径300メートルのIT：秘密の質問「母親の旧姓」、読めないんですけど…… - ITmedia エンタープライズ

[brink004]

そのとおりである

[elfsky]

ネット上は努めて嘘で固める

[hevohevo]

秘密の質問強要するのはやめてには完全に同意。／IPAが秘密の質問に関する注意喚起と対策を出しているよね。http://www.ipa.go.jp/security/txt/2015/07outline.html

[Sinraptor]

非公開とはいえ、公共サービスに堂々と書ける時点でそれは「秘密」じゃない。とはいえ、「⚪︎×は◻︎▽」とか聞かれても困る。

[hatact]

同様に自衛してる。秘密の質問を使っている企業をリストアップしては？知ってる範囲ではApple、トヨタ、楽天・・あと銀行とかクレジットカード会社がやってるのもある。銀行は住宅ローン払い終わったら即解約予定。

[reachout]

そもそも質問は数パターンしかないので、質問自体が秘密ではない。

[rytich]

“読めない”がどこにかかってるかいまだにわからない

[Haaaa_N]

秘密の質問がある時点でセキュリティの程度が知れますよね 3つも強制で設定させるクソサービスがあるらしいが

[filinion]

せめて質問もユーザーが設定できるようにして欲しい…。「最も印象的だった映画は？」なんて選べないし、仮に選んでも10年後まで同じである保障がない。「初めて触れたゲーム機は？」とか、年代から特定可能すぎ。

[muipla]

秘密の質問といっても、用意された選択肢は普通に話してしまうレベルのものだしな。てかそもそも「母親の旧姓」という選択肢は、母親は姓を変えてるはずだという先入観ありまくりでこれはひどい。

[wbbrz]

「秘密の質問」にもパスワードと同様にランダムな文字列を入れるのが良いのね

[yoshi-na]

秘密の質問なのだから、秘密に出来るものにしなきゃね

[guldeen]

「今まで付き合った恋人の数は？」に『０人』と答えるしか無い場合は、抗議していいのだろうか

[funayoi]

ねんきんネットなんて、どの秘密の質問を設定したかも認証時にプルダウンで選ばせるという、どんどん間違った方向に進化してたからな。本当にやめてほしい。パスワード再発行も郵送だったし。

[KoshianX]

「ソーシャルエンジニアリング」という言葉がありましてね……

[nakakzs]

「秘密の質問」の答えには『Don't think. Feel.』と入ってるが。

[sometk]

これ重要なこといってる。

[y-kawaz]

秘密の質問はキーボードガチャガチャでランダム文字列入れてコピペでメモっておしまい。あんなのマジで100害あって一利なし。

[tk666]

そうだよなぁ…

[shimooka]

ホントこれ

[cider3613]

ちょっとこれ読んどいた方が良さそう

[domimimisoso]

最近は離婚して子供と一緒に旧姓に戻っちゃう人も多いよね〜

[lovepsy]

ニッセンが秘密の質問の選択肢が少い＆パスワードに設定できる長さが短くて、不安感じたので退会したけど、今もあのままなんだろうか