セブンペイの不正アクセス問題、なんと基本情報技術者試験に同様の問題が・・・

基本情報技術者平成28年春期

午前問40

Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。

ア・あらかじめ登録された利用者のメールアドレス宛てに，現パスワードを送信する。

イ・あらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページヘアクセスするための，推測困難なURLを送信する。

ウ・新たにメールアドレスを入力させ，そのメールアドレス宛てに，現パスワードを送信する。

エ・新たにメールアドレスを入力させ，そのメールアドレス宛てに，パスワード再登録用ページヘアクセスするための，推測困難なURLを送信する。
https://www.fe-siken.com/kakomon/28_haru/q40.html

7payのようなパスワード再設定方法は、以前から基本情報技術者試験で不正解の典型として挙げられてます
https://twitter.com/aka_pencil/status/1146752497400205312

>>1
推測困難なURL
現パスワードを送信

どちらもメールアドレスを暗号化しないと同じ事だよね？

>>1
ウとエは、新しいメルアドの時点で駄目駄目
アだと、同一の回線（同一人物）がパスを設定できたのかの確認が出来ないしな

たぶんこれ
7payが外注で出したシステムで更に孫請けとかで中華企業にいって
そこで新しいメルアドという杜撰なパス変更システムにしたんだろうな

>>261
新しいメアドを用意させる方、本人だとすると
旧メアドではなくスマホで新メアドでやる事になって、先ず自分のメアドを新しくする手順が入り複雑になるだろ
何言ってんだ

プレゼンで、新メアドを用意させる方が一段階手順が入る事で複雑になります
セキュリティは複雑なほど安心です＾＾
とやったとしか

>>317
ちなみに君は、今使用しているメルアドにパス変更をする為のＵＲＬが自動で送信されるのと
メルアドを自分で打ち込む作業という一段階手順がはいるのと、どっちが複雑だと思う？

後者の方は、メルアドを入力するという一段階の手間が入るので、見た目複雑になっている
一見すると複雑にしているので、プレゼンで複雑にすればセキュリティも向上します、という詭弁が使える

しかし、その文言だと新しいメルアドを入力する事が可能なのでセキュリティ的には糞で駄目だ
むしろ、君の言うようにＤＱＮに合わせて複雑にしない手続きなら前者になる

裁判になっても

会社側が負けるよ。
酷いシステムだ。

素人以下。
こんなシステムを作ったＳＩ企業名どこだ？

公表するべき。

カ.パスワードを忘れた場合、パスワードは入力しなくてもいい

正解はこれだろ。便利だし。