マビノギ

ねおはいど

11/05/31 17:51

【NexonIDで作成したマビノギIDの一覧検索】
http://www.mabinogi.jp/6th/popup/id_notice01.asp

【NexonIDからマビノギIDのパスを変更する】
http://www.mabinogi.jp/6th/popup/forget.asp

こいうのもうちょっと目立つ所に置いてよ。
→というわけで目立たせておきます。

-------------

昨日めでたくアカファックパーティーにお呼ばれを受けた、ねおはいどと申します。
いやーびっくりでしたね、まさかマビでも裸族になってるとは！←

板違い上等のスレを立てたり(削除済)、ご迷惑ご心配をおかけしましたが、
色々と調べまわった結果、必要と感じた呼びかけをしておこうと思います。



　アカハックされたくない方に２つお願いです。

　　・パスを【 大文字を含む9桁以上 】または【 数字を含む10桁以上 】にして下さい。
　　・パスを【 英単語の組み合わせにしない 】で下さい。


　　◎パスワード変更例：

　　　　testpass → test23passX
　　　　password → pasdworf456
　　　　passforyou　→　pass4Uzxc


　※かなり多めに見て、基本的に毎秒10万回のログイン試行が可能という前提で話します。
　　Nexon鯖のスペックという制限があるため、
　　どれだけ中華側が処理性能を上げても限度があります。


------------------------------------------------------


◆ まず、パスの長さについて。

小文字8桁までのパスは[ 24日 ]で全て(aaaaaaaa~zzzzzzzz)抜かれます。

そして、Max12桁で " 大文字 + 小文字 + 数字 " のPassを抜くのには、
もし仮に毎秒1億回の試行が可能だとしても[ 100万年 ]かかります。
マビノギのID数が10万とすれば、10年に1アカしか抜けません。

つまり、「安全なパスを設定すれば、総当りでパスを抜ききる事は不可能にできる」訳です。
「12桁でも抜かれたから防御は不可能」じゃありません。
「12桁を正面から抜く事の方が不可能」なんです。これとは別の視点が必要です。


小文字8桁のPassに大文字を1字加えるだけで、
小文字のみ8桁と比べて約13000倍の[ 882年 ]になります。

　『小文字＋大文字の8桁』
　『小文字＋数字の9桁』
　『英字のみの10桁』

これら3つが大体同じ程度の安全性で（同基準で[ 17～44年 ]）、
既に抜かれてるラインでもあります。なので、この基準より1桁以上増やして下さい。

※突破に40年というのは非常に「短い期間」です。
　上記と同様に総ID数が10万とすれば、1日平均6.8件のパスが抜かれてる計算になります。


◆ 次に、英単語について。

12桁クラスのPassでも抜かれた事例がありますが、実際に12桁を総当りで検索し尽くすのは、
上で書いたとおり不可能だし、実際の件数とHit率が合いません。
長いパスで抜かれた可能性としては、”辞書検索”がありえます。

大学入試に必要な英単語数は難関校で最大8000、高校入試なら2000ぐらいでしょうか。
この単語を組み合わせて検索している可能性があります。

つまり、上の例の『 passforyou 』というパスワードの場合。
10桁の英字として検索するならば[ 44年 ]かかるレベルですが、
これを {pass}{for}{you} という、高校入試レベルの3つの英単語として検索されたならば、
僅か1/17000の[ 22時間 ]で突破可能です。


◆ IDの流出について

IDに関しては、諦めて下さい。
残念ながらIDはハウジング以前の問題で、既に全て抜かれていると考えた方が良いです。
マビID新規作成画面にて。「このIDは既に存在します。」IDクラック完了です。
IDとパスが同じである事がどれだけ危険かわかりましたか？

ちなみに、自分はID6桁・Pass8桁で小文字のみの、辞書に無い固有名詞でした。
詳細はプレ板に書きましたが、”流出元がほぼ無い”状態で受けた事だったため、
自分がハックされたこと自体が、総当りの可能性が非常に高いことを示す結果だと思っています。


◆ アカハック被害に対する最強の防衛策

垢ハックが頻発するのはリネ1でもありましたが、やっぱりいつ見ても遣る瀬無くなります。
ダンバ銀行にボロボロ落ちてるRとかSつきの武器。…何でそこまでする必要があるんでしょうね。

実は自分は被害を受けたのに、ショックはありましたがあまり凹んでません。
それはこの最強の防衛策があったからだと思ってます。

『マビノギのIN時間を減らす』

学校で流行ってて熱中してるゲームのセーブデータが消えたら、ショックのどん底。
でも飽きてるゲームだったなら、あーあ、次のゲームやろう、で終わる。

マビノギやめろって言うんじゃないんです。
ただこの現状で、あんまりハマりすぎたり、リアルマネー投資しすぎるのはどうなんだろう？
って、思うわけです。ここでは総当りに関して書きましたが、他にも手口はありますし。
リアルマネーの投資を控えることは、Nexonへの間接的な対策喚起にもなると思います。



呼びかけとか言いつつ、長々書いちゃってすみません。
うわーなげえ。ほんっとすいませんまじすいません。

まあでもこんな時だし。1回ぐらい語らせてくれよ。というわけで！
読んでくれてありがとうございました！