生年月日をパスワードにするよう指定 子育て支援サイトが話題 パスに認証以外の役割があった

神奈川県の子育て支援サイト「かながわ子育て応援パスポート」が、利用登録の際に子供の生年月日をパスワードにするよう指定していることがTwitterで話題になっている。指摘を受け、県は仕様を修正する予定。 かながわ子育て応援パスポートは、小学校6年生以下の子供を持つ子育て世代向けに、特典やサービス、支援施設などの情報を発信しているWebサイト。利用登録時にパスワードの設定画面で「最年少のお子さんの生年月日を半角数字で入力してください」と求めている。生年月日の書式になっていない場合は登録できず、設定後の変更はできない。 パスワードに認証以外の役割 県によると、パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを

[theatrical]

顧客の要件とは言え、こんなアホな要件出されたら、プロとしてだめだと説得すべきだとは思うけど。

[ikd9684]

“同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという”全然理解できない。

[n314]

それならいっそのこと「メールアドレスと生年月日でログイン」で良かったんじゃないのかな。他に個人情報を入力しないサービスならそれでいいような。

[meech]

お、これついに発見されたか。でもこれ別にログインしてもなにもないんだよね。なんなら紙に印刷していいよとも書いてる。 / 再確認したら、連絡先・かかつりけ医など入力できるサイトとの連係がある。即刻停止すべし

[yug1224]

"パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという" ことは、パスワードが平文で保存されているということ

[yamami78651]

作る人もお金出す人も何も思わなかったことがポイントですかな。指摘されるまで気づかないのもすごい！

[mohritaroh]

情報の閲覧と検索ができるだけのサイトだったようだけど、それだったらそもそもログインって必要なんだろうかってことにもなりそう

[BigHopeClasic]

ひろみちゅも怒りを通り越して無表情になりそうな案件

[umaemong]

そもそもパスワードで保護するほどの情報を持ってないんだよね。紙のカードと同等の画像を表示するだけのサイト。大人の事情があるんだろうけど、存在自体が不可解。

[timetrain]

発注側提案者が二度と発注に関与しないでほしい

[deep_one]

『メールアドレスと生年月日以外に扱う個人情報が無いためこのような実装になったという』子供の生年月日を入れるフィールドがなかったから…あほか。／コメントを見て。確かにパスワードを平文保存するシステムだ。

[nakakzs]

パスワードの役割とは。

[munieru_jp]

ここまでひどくはないけど、本人確認の名目で生年月日の入力を求めてくるウェブサイトがまれにある。生年月日なんて公開情報なんだから何の意味もないのに……

[smbd]

"同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。" "メールアドレスと生年月日以外に扱う個人情報が無いためこのような実装になったという。" なるほどわからん。

[yutaro1985]

なんでそんなことをしていいって発想になるのか…

[suika3417]

いろんな罠を踏みまくっててたまげる

[megane1972]

たしかに自分ならこうは作らないけど、提供している機能や情報を考慮すれば、特に問題はなさそう。既存のCMSの機能だけで安価に抑える必要があったのでしょう。

[hrmk4]

365度でマッチ

[aroechan]

パスワードにパスワード以外の役割をつけるな。ドメインの考え方が終わってる、ちゃんと勉強してくれ

[the108simulacra]

顧客の要件も何も普通に違法ですやん。なぜ誰も止めないんだ

[cartman0]

よくわからんけど365人しか利用しないの？

[mohno]

ってことは、パスワードが平文（または数値）で保存されてるわけで、改修後も心配になるな。

[hitode909]

“同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている。”

[rryu]

まさか日付のバリデーションもしていたとは。個人情報の基本4情報を扱うと面倒になるからパスワードという体で入力させていたという事案らしい。それはそれでどうかと思うが…

[paradisemaker]

これ、発注者がアホなんだろうけど、ベンダーも善管注意義務違反問われると思うよ

[spam_lover]

彡(^)(^)「せや！パスワードを生年月日にしたら一石二鳥やんけ」

[alt-native]

単に利用者人数を把握したいがためだけに入力させるという

[takeshich]

そもそもパスワードが平文で保存されているのか。

[canadie]

パスワードと書いてしまうから問題だと思われるわけで、生年月日で認証するのは普通にあるような。 期限切れを判定してるなら毎日日付をハッシュ化すればいいだけで平文とも断定できない（ハッシュ化意味なし）

[hyolee2]

やってはいけないパスワード設定

[vvvf]

ブルートフォースすれば子供の生年月日が割り出せるな

[poponponpon]

要件出したやつも頭おかしいし、そのまま作ったシステム会社もさらに頭おかしい。

[fukuroiri]

「パスワード」だと表記するから問題になっているだけ。パスワードなしのサイトであると解釈すれば、問題ない。そのように最初からサイトの表記をしておけばよかった。

[circled]

パスワードを暗号化してませんって言ってるようなもんじゃねーか。頭おかしい。

[miruto]

こういうのって作る側としては1度は「この仕様はまずい」と伝えるんだけど、結果的に「やはりこれでいく」と上から言われると、「また反論して揉めるのも面倒だし上の指示なら仕方ない」となって作るんだよね。

[rizenback000]

これWeb製作業者なにしとったんや？？

[hatomugicha]

パスワードって項目名じゃなければまだいいかな

[estragon]

マジですか…… / “県によると、パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという”

[hdkINO33]

“同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている。メールアドレスと生年月日以外に扱う個人情報が無いためこのような実装”

[mozuyanniarazu]

めっちゃアホ。