ソースネクスト　暗号化されていないパスワードが流出した理由とは（山口健太） - エキスパート - Yahoo!ニュース

メディアにはこういう取材をして欲しいですよね。ただ、この理由は納得できない>ライセンス管理システムとの連携など、パスワードが必要な作業で使う必要があるAPIであったため、パスワードも含めていた

"ソースネクストは会員向けにパスワードを再設定するよう案内しているものの、新しいパスワードについても同様に暗号化してサーバーに保存されるとのことです。"　やったー！

“会員情報を取得するAPIにおいて、戻り値にパスワードを含めるのは特徴的な仕様"。"一般的にはパスワードを含めない設計”　"〔新しいパスワードも〕暗号化してサーバーに保存"

APIを特打したら他人の個人情報までゲットできちゃいました、と

使えるパスワードに「半角英数字のみ20文字以内」のような制限がある場合は平文保存の可能性が高いと考えている。ハッシュ化もしくは暗号化では、このような制限は不要なので。そう考えると、世の中平文まみれだよな

想像のはるか上を行ってたw もう解約するしかないだろこれ

＞新しいパスワードについても同様に暗号化してサーバーに保存されるとのこと　正気か？

どんなに言ってもパスワードを使い回しする人はいるだろうから，流出した個人情報の組み合わせでログインできないように各サービスはメールアドレスや電話番号をIDとして使うのをやめ，必ず固有で割り当てるべきでは

“ソースネクストが取り扱っている「1Password」” これだ！

バカすぎわろた

2度とウィルス対策ソフトなんて売るなよ

古の時代にアホなアーキテクチャで負債作っちゃって、しがらみに手を入れられずここまで来ちゃったんだろうね。当然数日でどうにかできるものでもなく、引き続き暗号化保存するしかないと。

パスワード管理ツールって、登録画面によるけどパスワード保存をうまくやってくれなかったりして使いづらいんだよな。登録画面とログイン画面のhtml仕様が規格化されたら改善されそうだけれど

また狙われそう

顧客にパスワード変えろ？←パスワード強制リセットじゃないんだ。放っといていいと思ってたけど確認するか。

「パスワードが必要な作業」の存在も「新しいパスワードについても同様に暗号化してサーバーに保存」も全く納得できない。後者はすぐ対応は無理でも、せめてハッシュ化を検討中くらいは言って欲しいのだけど。

「新しいパスワードについても同様に暗号化してサーバーに保存される」そうなってる予感がしたので、他のパスワードとは違うパターンの独自パスワードにしていた。良かった（漏れてる時点で良くない）。

ソースネクストが無能を超えた無能すぎて言葉が出ない

古いサイトとか、問い合わせると電話越しに生パスワードおしえてくれるんだよ。何年か前のＤＭＭとかそうだった。

パスワード強制リセットはされてて、その上での暗号化()でしょ。固有でIDを割り当てたって覚えられないだろ。組み合わせ増やしたって漏れたら同じだ。なんかほんとコメ欄、情報を正しく理解してるやついないよね。