パスワードに入力された文字として画像を変更する
Lotus Notesがパスワードを要求すると、5番目の文字の後に新しい文字が入力されると変化するように見える画像の画面が表示されます。
Lotus Notesを閉じても、再度開いても、一連の画像が同じであることに気付きました。これは、誰かが入力するときに攻撃者がキーボードを見ないようにするためのものですか？これは効果的であると証明されたことはありますか？また、私が知る限り、各文字が入力された後にランダムな量のxが追加されます。これは、攻撃者がパスワードの長さを見ることができないためだと思いますが、ユーザーは入力された文字の数がわかりませんか？
編集：それが価値があるので、私はパスワードを入力するたびに写真が同じであることにさえ気付きませんでした。
これにはいくつかの情報があります 破棄ページ 。どうやら、「動画」が気を散らすためにそこにあるという考えは ショルダーサーファー が広く行き渡っていて、間違っています。これは、この図が機能する方法ではありません。 悪い意図 から始まりますが、実際には悪いです。
パスワードの文字を入力すると、Lotusは「かなり複雑な」が決定論的アルゴリズムを使用して、入力されたパスワードを画像にマッピングします。これは基本的に非常に小さな出力サイズのハッシュ関数です（出力は可能な画像のセットの「値」です）。上記のハッシュ関数にサーバー固有のシークレットが含まれている可能性がありますが、それほど重要ではありません。実際のポイントは、あなたが観察しているように、あなたがパスワードを入力するとき、あなたはいつも同じ絵で終わるということです与えられたパスワードに対して。 善意は、次の2つのプロパティを実現することです。
パスワードが正しく入力されたかどうかについて、早期に視覚的な警告を出します。ユーザーはすぐに自分のパスワードの一連の画像を学習します。したがって、画像が変更された場合、ユーザーはその時点で間違ったキーを入力したことを知っています（または数文字前に可能性があります）。
攻撃者がこのログインポップアップを模倣して、ユーザーに偽のポップアップにパスワードを入力させようとすると、画像を再計算して正しく表示することが「困難」であると考えられます。
2番目の理由は、考えてみると、純粋な馬鹿げたものです。「複雑なアルゴリズム」 秘密にしておくことはできません （特に、偽のポップアップが実際には 中間者攻撃の場合） と実際の画像を取得するためにカバーの下で真のポップアップが使用されます）、そして画面上を移動する画像を作成することは本当に簡単です：それはWebの99.9％についてです。
ただし、最初の理由には、破壊の種が含まれます：これにより、パスワードに関する情報が漏洩します。写真は画面上で非常によく見えます。かなり目立つ。 「ショルダーサーファー」は遠くからでも見ることができます。そして、それらを使用して潜在的なパスワードを取り除くことができます。実際、可能な画像が4つある場合、これはリークします文字あたり2ビット：8文字のパスワードの場合、現実的には約30ビットのエントロピーがあるため、これはわずかに減少します。 14ビット。
実際、この機能は、画面上に大きな文字で、各パスワード文字に対して「この文字は数字です」/「この文字はAとMの間の大文字」であるシステムに似ています/ ...
したがって、この「画像」システムは非常に危険であり、禁止する必要があります。
パスワードlengthについては、各キーストロークがhighly audibleであるため、攻撃者が文字数を取得するのは非常に簡単です。肩のサーファーは被害者の耳元にある必要があるだけで、スマートフォンでシーケンスを簡単に記録して後で聞くことができ、適切な速度にして、パスワードの長さを取得できます。これらの状況下では、ユーザー自身から長さを隠すことは無意味です。
いいえ、パスワードフィールドの左側の画像は、ログインプロセスのセキュリティとは関係ありません。 残念ながら、これは「使いやすさ」機能です 。 Visual Hash と呼ばれます（ 例はこちら ）。実際、現在使用しているアバターはビジュアルハッシュの例です。
Lotus Notesは、パスワードフィールドにXの乱数を表示するため、Lotus（およびその後のIBM）の「不可解な」R＆Dチームは、入力されたパスワードに従って画像を表示すると、ユーザーが追跡しやすくなると考えましたこれまでに入力したパスワード。
その画像は、パスワードを入力するときにパスワードを特別にハッシュし、そのハッシュに従って対応する画像を選択した結果です。たとえば、パスワードがMyPass1sAwesomeY3ahの場合、MyPass1sを入力するとそのパスワードに対応する特定の画像が表示され、次の文字を入力するとパスワードがMyPass1sAになります別のものを参照してください。
ログインするほど、脳はそれらの画像のパターンとシーケンスに気づき、記憶するようになるので、後で何かが間違っていると本能的に知ることができます。たとえば、MyPass1sと入力した後、誤ってBと入力すると、別の画像が表示され、潜在意識レベルで、何かが間違っていることがわかります。バックアップしてその文字を変更してください。
個人的に、私はそれは愚かだと思います。
以前の職場ではロータスを使用していました。インストールした人にその正確な機能について尋ねたのを覚えています。 「これは、パスワードを送信する前に間違った文字を入力したことを知るのに役立ちます」と彼は言った。