# チャプター1 みなさんこんにちは、けいすけです。 今日はAIでプログラミングをしている人に向けて、 ちょっとアドバイスというか、最近の情報流出に関連してなんですけど、 パスワードは絶対に収集しちゃいけないよという話をしてみたいと思います。 AIでいろんなプログラミングをして何かサービスを作ろうということがありますよね。 そこで最近、情報流出がすごい流行っているというか、いろいろ攻撃されちゃってるんですけど、 そこで最近あったSourceNextという会社からいろいろ流出したというのが、 他とちょっと違っていたので、そことも絡めて話をしていくんですが、 どうもSourceNextってパスワード発注家じゃなかったみたいなんですね。 SourceNextから流出したのが、まず暗号化されたパスワードということで、 かつ暗号化をたぶん戻すプログラムがあったらしくて、 それもハッキングされたんじゃないかと言われていて、 つまり暗号化されたパスワードが生まれて、かつそれを戻すプログラムもハッキングされたということは、 パスワードが戻せてしまっている可能性があるということで、 これが今までとちょっと違っていたんですね。 今まで他の会社とかでもハッキングとかあったときに、 ハッシュ化されたパスワードという言い方をしているところが多かったと思うんですけど、 ハッシュ化というのは、難しいな、ハッシュって言って、 パスワードがあったらそれを結構複雑な変換をして、 一見ランダムっぽい文字列にバッと変えることをハッシュって言うんですね。 それから逆にハッシュからパスワードに戻す方法は、 一応今のところないだろうと言われているんですね。 ただ力技が実はできて、パスワードを全てハッシュ関数に入れてみて、 どんなハッシュになるかというのをひたすら層あたりで試していくと、 パスワードを入れたときに同じハッシュになったみたいなことが分かったりするんですよね。 そのハッシュが漏洩しましたという企業は結構ありました。 パスワードを預かるということが、そもそも結構リスクで、 普通はパスワードの平文とか平文でいいのかな、平文と言ったりするんですけど、 それをそのまま保存するということはまずないんですね。 それが漏洩しちゃうとまずいから。 どうするかというと、預かったパスワードをハッシュ化して、 一見ランダムな文字列にしておいて、それを保存しておくんですね。 ユーザーがログインするときにIDとパスワードを打ちますよね。 IDとパスワードを打って、そのパスワードをハッシュ化して、 そのハッシュ同士を比べて、これは合ってますねということを確認するというのが、 これまでの普通のやり方なんですよ。 だから仮にハッシュが流出したとしても、元々のパスワードは分からないんですね。 これはサイト側も分からないんですよ。 パスワードを忘れちゃって、パスワードを教えてくださいと言っても基本知らないんですね。 だからパスワードの再設定というのはよくあるんですけど、 パスワードを教えてもらうということはできないんです。 そういうのが普通の方法なんですね。 ただ今回のソースネクストの件はちょっと違ったらしくて、 まずパスワードが暗号化されてましたと。 かとその暗号化を戻す方法があって、 暗号化だから戻す方法があったんでしょうね。 その方法もどうやらそのプログラムもハッキングされたんじゃないかと言われているので、 これは多分パスワードが全部流出したにおそらく等しいだろうなということです。 これは困ったぞということになったわけですね。 ちなみに僕ソースネクストを今まで全然使ったことはなかったんですけど、 今年の2月頃にたまたまこのソフト欲しいなってソフトがあって、 それを買ったときにアカウントを作ったので、僕の情報もきっと漏れているんでしょう。 僕はパスワードはソースネクストに限らずですけど、 全部専用のパスワードを作るようにしているので、 パスワードが漏れてもしょうがないかなと思います。 しょうがなくはないけど仕方ないかと。 パスワードを再設定してくださいという連絡が一応来たんですけど、 しょうがないかと思って設定仕事をしたら、 多分サイトが混み合っているのかサイトにアクセスできませんでした。 ちょっと待って、再設定するしかないんですね。 一応既存の顧客はすべて一旦パスワードを無効にしたらしいので、 そんな急いで設定しなくてもいいかなという気はしています。 そこでですよ、皆さんがAIで何かサービスを作るときに、 もうやっちゃいけないのはパスワードですよね。 パスワードタイプのログインは基本やっちゃいけない。 ハッシュ化すればいいんじゃないかと思うかもしれないんだけど、 これもやっぱりちょっと危険で、 例えば一応ハッシュ化すれば最悪流出したとして大丈夫な、 元のパスワードは分からないんだけど、 怠ける生き物なのでパスワードを使い回しとかするじゃないですか。 そうすると自分のサイトがしっかりしていたとしても、 他のサイトで流出したパスワードを使い回ししていたりしたら、 それでログインされてしまうということがあるじゃないですかね。 だからもうダメでしょうね、パスワードは。 一応パスキーという仕組みがあって、 それだったらパスワードにかなり安全な、 公開鍵、暗号鍵システムなので安全なので、 使うならそっちからというところですね。 ということで、皆さんウェブサービス作るんだったらパスワードはやめましょう。 僕も絶対やらないです。 他の人がログインして使うタイプでは絶対やらないようにします。 ということで今日はここまでです。 最近質問を募集していて、 MONDOというところで質問を募集していて、 概要欄にも貼っておきますので、 何か聞きたいことがあったらぜひ質問をよろしくお願いします。 では今日はここまでです。ありがとうございました。