「生年月日を入力してください。」
の入力欄とそこから連動するCGI
あと生年月日の情報管理方法に関する文章の作成校閲とセクションの制作etc...

これだけの予算削れりゃねぇ

それを”パスワード”と称するセンスの問題じゃなかろうか 🤔

生年月日を別途入力しているわけではなので、登録上だけで、パスワードを推測できるわけではないが
戸籍や母子手帳とか見たらわかっちゃうね

気になる今日のニュース

ドコモ装う不正アプリ被害、iPhoneでも確認 構成プロファイル悪用

そんな馬鹿な(>_<)

7Payであれだけ盛り上がったのに、認証に対する意識が低い行政サービス。
単純に怖いんだけど。

とんでもねぇな…

うわ。２重にダメですね。

あまりにもアレすぎて笑っちゃった。

結構子ども関係のサービスってこういうシステムになってるとこ多い気がする。別にハックされても困るような手続きはできないようなとこ。

フォームがパスワードという名前だからツッコまれるのであって、（認証にも使うけど）あくまで生年月日です！ って言い切っていればよかった説。

> ...同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている。

つまり、パスワードを平文または可逆暗号化して持ってる？

パスワードに認証以外の意味も持たせちゃう斬新な発想
指定するだけじゃなくて年月日フォーマット以外は弾くとか無駄にバリデーションしてて大草原

どうしてこうなった

扱う個人情報がない、というのはどう言うことなんでしょうね。プライバシーポリシー的に、メルアドと生年月日しか扱わないと明記して変えられなかったとか……？

パスワードの役割とは。

病院の予約システムでも誕生日パスワードのやつあったなぁ...

マジかww

お役所仕事って凄いな！セキュリティ意識のかけらもないぜ！
と言うか、パスワードが管理者に筒抜けの+生年月日に反映される糞システム開発に税金使ったのか？

ここまでひどくはないけど、本人確認の名目で生年月日の入力を求めてくるウェブサイトがまれにある。生年月日なんて公開情報なんだから何の意味もないのに……

なにこのクソ仕様。作ってて誰も指摘しなかったのだろうか?

話題の子育て支援サイトですけど、メアドと生年月日しか個人情報を取得しないなら大騒ぎする程の事ではない気がしますけどね。例えばメアドと生年月日を入力すると"Hello World"と表示されるだけのサイトがあったとして、そこに不正アクセスされて何か実害があるか？と。

期限の確認に生年月日が必要で、パスワードを生年月日にして、それを参照している。
すげーやんちゃな仕様でびっくりした。

はぁ？
何考えてんの？

理由が斜め下すぎる

パスワードを生年月日に強制するだけじゃなくて暗号化せずに平文で保存しててシステム側で参照してるとかパスワードでは無いなそれは。ただの生年月日のデータだ。

デジタル庁といい勝負だ😃

ゼロトラスト(無限遠点）

あほくさ:

意思決定のフローに何が混じりこむとこんな事が起きるのか割と想像できてない ごくごく一般的な技術者であれば明らかにやばいしとめるはずなんだけどそれを止められないような意思決定フローって何が発生してどういう力関係だと起こるのかあんま想像できてない

パスワードを認証以外の役割を持たせるって斬新！（感心しちゃダメw）
こんなのダメでしょ？って事前に指摘できる人が居ないのが深刻だなあ。

ってことは、パスワードが平文（または数値）で保存されてるわけで、改修後も心配になるな。

こういうのを見かけると、行政の仕組みは一本化しておくほうが良い気がしてならない…

“同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている。”

普通はサーバー側ではパスワードはそのものを持つんじゃなくて、セキュリティーの為にパスワードのハッシュ値を持つ。でも、これだとパスワードそのものを持つ事になる。

「神奈川県の子育て支援サイト」

あっ・・・

設定してもらったパスポートを盗み見るという斬新なゴミ仕様

いいわけいらんよ

"利用登録時にパスワードの設定画面で「最年少のお子さんの生年月日を半角数字で入力してください」…生年月日の書式になっていない場合は登録できず、設定後の変更はできない"

認証に創意工夫とかオリジナリティは要らないからね……
普通に普通の実装をしようね……

まさか日付のバリデーションもしていたとは。個人情報の基本4情報を扱うと面倒になるからパスワードという体で入力させていたという事案らしい。それはそれでどうかと思うが…

神奈川県の子育て支援サイトの仕様がちょっと凄すぎる発想でできていると判明して利用者騒然
↑↓ 支援サイトは異常です

暗号化すらしてなかったのかよ

パスワードの重要性をもっと広めたい。
「パスワードが漏れても大丈夫なように。アカウント共有しても大丈夫な設計にしてくれ」みたいな要望が多すぎる。

これ、発注者がアホなんだろうけど、ベンダーも善管注意義務違反問われると思うよ

パスワードとは

これ作ったアホベンダーどこだよ

こういう一石二鳥っぽい発想は一見優れているように見えるから、仕様決めをした人は自分の発想に感動しただろうな。

"県によると、パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。"

それ以前に何でこの仕様で通った <

想像だけど、ユーザが仕様を決めてるんじゃないかな。「パスワードめんどくさい」、「生年月日で決めればそっちもラクやろ？」って
どんな人かは知らんけど

いや、どういう仕様よw
なぜこれが実装・運用まで行き着いてしまうのかw
パスワードを目的外で参照する時点でセキュリティリスク爆上がりだよw

どういうI/F設計だよｗ

> 同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという。

むしろ、よくこんな運用考えついたなと感心する。フィールド増やす方が楽ではないか？

「メールアドレスと生年月日以外に扱う個人情報が無いため」個人情報保護法の制約を優先してこういう実装にしてしまった…とか？だとしてもかなりトンチ効いてるけど… ＞

こういうのって作る側としては1度は「この仕様はまずい」と伝えるんだけど、結果的に「やはりこれでいく」と上から言われると、「また反論して揉めるのも面倒だし上の指示なら仕方ない」となって作るんだよね。

つまり、パスワードを平文で保存してたって事ですかね。はえ～～

マイナカードを普及させたいなら、認証デバイスを全国民に無料配布すりゃよい。まあ、それでも普及しない可能性があると知っているから、政府はやらんだろうな。

マジですか…… / “県によると、パスワードに生年月日を指定しているのは、同サイトのパスワードがアカウント認証の他に、生年月日を確認する役割も持っているからだという”

デジタル庁だけ頑張っても効果は出ない。こういう津々浦々の裾野のITレベルアップしないと。この程度の常識も持ち合わせていない公務員がこの手の仕事の担当になってしまう

→生年月日をパスワードにするよう指定 パスに認証以外の役割があった

パスワードの役割という基本的なことがわかってなかったの？ちょっと信じられない。

なんでそんな仕様にしたのかよくわからん。そんなパスワード検証を実装するなら最初から生年月日項目くらい追加できたのでは？

セキュリティ：

この仕様で通っちゃったんだ。 これは聞いたこと無いレベルでヒドいｗｗｗ あと、生でパスワード保管してる気もする

パスワードを平文で保管してるのか。

誰もこの仕様をとめることはできなかったのだろうか。。。

なぜこの仕組みに決めたのか疑問ですが…。

認証方法を変更する予定だそうだが、ここのサイトみたいに割り切るのもありだと思う。トークンやコード送るパスワードリセットは子育て世代ぐらいなら大丈夫だろうけど、おじいちゃんたちには難しい。

ブルフォートのチャンス到来です。

それはもはやパスワードじゃないよね

めちゃくちゃw

なんでそういうセキュリティのイロハのイでダメだからヤメとけって書かれてることを仕様にして強制するのかね。アホなのか。

これは清々しいくらいのあかんやろ案件
誰かがごり押したのかな

関わったひとは誰もおかしいと思わなかったのかしら。

見出しをみたときはなにかすごい良い意味があってやってるのかと思ったらそんなことはなかった｜

リリース前に指摘ないのが組織として病んでるな…→

なかなかすごいな。

何かあったら作ったベンダーも責任問われるんじゃないだろうか。要件にないからといって基本的なセキュリティ対策してなくて責任問われた判決もあったみたいだし。

どんなバカがこういう発想をするんだ?
ちょっと顔を見てみたいぜ

これは酷い。作ったのどこの会社だろう。

『有効期限を判定するためにパスワードを参照する仕組みにしている。メールアドレスと生年月日以外に扱う個人情報が無いためこのような実装になったという。』🤔

なぜ生年月日欄を作るだけで満足しなかったのかっていう。

いまだにこんなレベルで作ってんのかよ。

ほうほう、パスワードをシステム的に盗み見てたわけね。

虚構新聞ならちゃんと虚構新聞と明記してくれないと困る

【気になるニュース】

パスワードにほかの役割持たせました…ってダメやろそれ _(｡ﾟ⊿ 」∠)_
生年月日が必要なら(キチンと取得する事と目的を明示して合意を得た上で)別途集めるべきやろ

パスワードを「password」にする人が関係者にわんさかいそう

[htb_top]

パスワードを参照、、、🤔

"同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている。"

パスワードにパスワード使っての認証以外の機能を持たせる発想が凄いね(皮肉)

単なる情報提供しかしてないサイトみたいだから、利用登録なんて無しにしておけば良かったのでは。

同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている
↑ほ、ほほほぅ？？新しい概念だわ

＜メールアドレスと生年月日以外に扱う個人情報が無いためこのような実装になったという＞

一般常識に欠けている、と言うべきだろうか。

ちょっと前までは、初期パスワードが生年月日というものは見かけた気がする。現場としては素晴らしいアイデアと思ったんでしょう。当時は。残念。

流石に笑う

この支援サイトのパスポートの加盟店が少なくて、割引とか全然使えない川崎市民。出生届出したり転居時に役所が配布にすればネット登録しなくていいレベル。

設計よ

頭おかしい。

"同サイトのサービスは12歳になって最初の3月31日以降に使えなくなるが、有効期限を判定するためにパスワードを参照する仕組みにしている" どうしてそういう仕様にしようと思ったんですか?