「宅ふぁいる便」と「Peing」の情報漏えいの違いとリスク
2つの漏えい事件について ２０１９年１月末、２つのサービスで大規模な情報漏えい（Peingは実質的にその危険に晒されていた）の事件が発生した。 一つはファイル転送サービスである「宅ふぁいる便」約４８０万件。 もう一つはTwitter上で匿名で質問を送る俗に「質問箱」と言われる「Peing」約１５０万件弱。 ※なお、実際に漏えいしていたのは、APIトークン。直接的な情報については、そのAPIトークンを利用して二次的に漏えいしていた可能性がある、という状況） どちらも極めて個人や企業に結びつきやすいサービスであった。 情報漏えい自体は、Webサービス提供者として最も注意するべきリスクの一つである。 ただ、今回の２件の漏えい事件には一つ違いがあり、短期長期的双方から鑑みて利用者影響の観点では大きな差が生まれた。 パスワードのハッシュ化有無の違い この２つのサービスに限らず、登録時、利用者は アカウント名（メールアドレス） パスワード を登録することがほとんどだ。 このとき、Webサービス側ではそれらを管理する単純な方法として 「パスワードをそのまま（平文のまま）保存する」 という方法が考えられる。 こちらは「宅ふぁいる便」のケースである。 ただ、現在では特別な事情がない限り、 パスワードの平文での管理は され てはならない 。 もう一つは「パスワードに何らかの加工を行って保存する」という方法が考えられる。 それをする理由は、 後述する情報漏えい時の重大なリスクを現実的に無害化するため である。 つまり、パスワードをそのまま持っていることは、漏れたときにいろいろまずいことが起きるわけだが、だったら、もともとのパスワードとは違う形に変更して保存しておけば悪用されないよね？という論理である。 これを実現するための方法の一つが ハッシュ化 である。 ハッシュ化について ハッシュ化は、 ハッシュ関数 と呼ばれる処理によってある固定長（必ず決まった文字数）の文字列（ダイジェストと呼ばれる）に変換する方法である。 つまり、直接パスワードを管理せずハッシュ関数で処理し、ダイジェストを保管しておく、という寸法だ。ハッシュ関数が同じである限り、必ず同じダイジェストに変換されるので、同一性を（天文学的な確率を無視すれば）保証でき...
