- - PR -
パスワードの取得
| 投稿者 | 投稿内容 | ||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
投稿日時: 2007-05-23 18:21
みなさん、回答ありがとうございます。
私もWindowsのパスワードまで取得できるのは、問題があると 認識しています。 今回の要件ですが、 １．ポータルサイトにログインする。そのときにIDとパスワードを入力する。 ２．その時にActive Directoryを使用して認証を行う。 ３．ポータルサイトにログインする。 ４．ポータルサイトから今回構築するシステムのリンクからログイン画面へ ５．そのログイン画面でユーザが情報を入力しないで、ログイン出来る様にする。 ４で一切、ポータルサイトから情報がもらえません。 だからパスワードが取得出来ないかなと考えました。 他にいい方法はあるんですかね。 | ||||||||||||
|
投稿日時: 2007-05-23 18:23
いえいえ、本質的な要件が 「windowsのユーザIDとパスワードを自動取得してログインしたい」 だと思ってるので、Applet実装とか気にせずに方法論として紹介したまでです。 当然、Appletを意地でも使うなら、僕の情報は役に立ちません。 _________________ Mattun Microsoft MVP for Directory Services (Oct 2006-Sep 2007) | ||||||||||||
|
投稿日時: 2007-05-23 18:42
はい、今回の質問者の質問とは直接関係ないんですが レスした人が結構、パスワードは絶対調べられないはず的な事を書き込んでいたので クラックだろうと何だろうと、方法があると言う事を情報として書きました。 あくまで「破る方法はないだろう」という点についての返答だと思って貰えれば。
確かにこれ以外にも例え15文字以上にしても クラックできるツールがないかと言われれば知らないところであるかもしれません。 ただ、このパスワード解析ツールは結構有名で、しかも簡単に使えてしまいます。 少なくともその対策をすれば、このツールでは解析できなくなります。 ちなみに、パスワード変更はこのツールにたいして何の効力もありません。 変更で15文字以上にするなら別ですが。
見た感じは辞書っぽいですね。 イメージからブートCDを作り、それをPCに入れて電源入れれば勝手に起動して 最終的にadminのパスワードが画面に表示されます。 試したところ大体5分以内ぐらいで終わりました。負荷はそれ程ない感じです。 そんな何万件もやってないので確実かと言われればわかりませんが 条件を満たす環境なら、とりあえず試した中では全て解析されました。 方法論というのは、恐らく質問の返答には使えないという意味かと思いますが 最初に書いたように質問者に向けて書いたのではなく、 Windowsのパスワードは調べられないでしょ、と思われている方に情報提供した感じです。 調べられないと思ってポリシー設定をしてなかったり、パスワードが14文字以下なら このツールでほぼ解析できてしまいますから。 あくまで注意喚起の為のレスだと思ってください。 こんなクラックツールあるんですよ。 安全だと思ってたら危ないですよ。 対策しましょうね。 という。 知ってる人は既に対策済でしょうから読み飛ばしてもらって、 知らなかった人はこれを機に対策した方がセキュリティ面でいいですよと。 少なくともこのツールで解析される事はなくなりますから。 | ||||||||||||
|
投稿日時: 2007-05-23 19:10
なら同じくActive Directoryを使用して認証すればよいのでは？ Mattun氏がその件の情報について書いてくれていますよね。 シングルサインオンにしたい、という話と、Windowのアカウントで ログインしたいという話に切り分けられると思うのですが、 どちらが解決しないのですか？ パスワードを持ち出してそこに流し込むという後付け感たっぷりの手法は セキュリティ的な面からも否定されるでしょうが、 作ってる会社が分かれているようなケースではありがちな事態ですね… orz | ||||||||||||
|
投稿日時: 2007-05-28 15:38
nagiseさん、ありがとうございます。 根本的なユーザ要件として、シングルサインオンにしてもらいたい。 そしてActive Directoryを使用して認証を行って欲しい。 認証を行う際にユーザIDとパスワードが判れば認証を行う やり方を知っているのですが、認証を行うときに何も情報が ない状態なので、良い方法があれば教えていただきたいです。 今回のシステムで使用するユーザIDとパスワードは、Windows にログインするときに使用するものと同じです。 何度も同じ事を書いてしまっているかもしれませんが、 宜しくお願いします。 | ||||||||||||
|
投稿日時: 2007-05-28 16:29
答えが出たようですね。 Active Directoryでの認証の仕方を調べてくださいませ。 | ||||||||||||
|
投稿日時: 2007-05-28 22:10
Windows User アカウント＋パスとアプリのアカウント＋パスが同じだと
怖い・・・ | ||||||||||||
|
投稿日時: 2007-05-29 10:45
とんちんかんな発言になってしまっていたら恐縮ですが...。 3の時点で認証されていて、たー坊さんが作られるアプレットは「認証済みユーザ」しか使用できないんですよね ? それなのに、さらに認証する意味がよくわかりません。 個人識別でしたら、アプレット起動後に「今アクセスしている私は誰」をサーバに問い合わせて(IPアドレスとかでわかりませんかね)解決、とか代用できませんかね。 | ||||||||||||
スキルアップ／キャリアアップ（JOB@IT）
Copyright © ITmedia, Inc. All Rights Reserved.
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。