サマーウォーズ「OZ」のセキュリティ

先月の金曜ロードSHOW!に影響されたわけではありませんが、サマーウォーズを改めて見ました。

2回目の視聴となるとどうしても細かいところが気になってしまうもので、「世界一高度なセキュリティ」を謳う仮想世界"OZ"のシステムについて気付いたところをいくつか。

以下、おもいっきりネタバレを含むので、未視聴の方はご注意を!

パスワード3桁でログイン可能

冒頭は視聴者への解説も兼ねて(?)、OZの説明から始まります。

まずは携帯電話でログインするシーンがあるのですが、「ゆかりん」さんのパスワードがたった3文字です。よくOZと比較されるFacebookは6文字以上という制限があり、また "123456" や "password" など危険なパスワードでの登録が制限されているのですが、OZにはそのような機能は導入されていないようですね。

管理画面は暗号化されていない

続いて物理部の部室で主人公の健二と友人の敬がOZの保守点検をしているシーン、アドレスバーに表示されている管理棟のURLが http://www.OZ.net/~Management/revel3 となっています。

あくまで末端の末端の末端なバイトということで、重要な情報を扱う業務ではないのかもしれませんが、暗号化しなくて大丈夫なのか余計な心配をしてしまいました。

ニックネームもマスク

健二が携帯で受信したメールの暗号を解いた翌朝、OZのシステムが改変され、多くの利用者がログインできない事態になってしまいます。

TVニュースでそれを知った健二はすぐに携帯でログインを試みるのですが、ログインフォームの入力欄はなぜかパスワードだけでなくユーザー名(ニックネーム)もマスクされています。要するに <input type="password"/> で実装されているのでしょうが、なぜ隠す必要があるのかよく分かりませんでした。先に記した冒頭のシーンではマスクされていないのですが。

また、マスクされているニックネームは8文字(以上?)ですが、健二のニックネームは「Kenji」のはずで[1]、文字数が一致しません。謎です。

ちなみに漫画版(Amazon)だと自宅のマシンでログインするシーンがあるのですが、こちらはマスクされていないうえ、ニックネームではなくIDでのログインです。そのID、ローマ字の大文字小文字と数字の混ざったランダムと思える文字列です。やはり謎すぎます。

アカウントロックの実装

引き続き携帯でのログインシーン、1回目の認証失敗時に「あと2回 再試行 できます」というメッセージが表示されます。アカウントロックが実装されているのですね。

そして2回目の認証失敗後すぐに佳主馬(カズマ)のところへ行き、ノートPCを借りて認証→エラーを2回繰り返します。本来であれば携帯で2回失敗しているのですから、再試行回数はあと1回のはずなのですが、IPアドレスや端末が異なる場合は別にカウントされるのでしょうか。

2056桁の暗号?

敬からの電話でこんな会話があります。

(敬) パスワードが書き換えられてて、管理棟に入れない。

(健二) OZは世界一安全じゃなかったの?

(中略)

(敬) OZのセキュリティは2056桁の暗号で守られている。そう簡単に解ける暗号じゃないんだ。それを誰かが一晩で解いちまった。

暗号については門外漢なので、とくに考察はせず興味深いブログ記事へのリンクに留めておきますが、いずれにしても数学オリンピックの代表程度の能力があればコンピューターを使わずに解析可能ということは、世界一安全どころか暗号化としてはまったく頼りない感じですね。

本文だけでなく、コメントにも2048桁でなく2056桁なことについてさまざまな考察があって面白いです。

セキュリティ能力が裏目に?

OZ混乱の実行犯と間違われ、警察官の翔太に身柄確保されたものの、連行途中で渋滞に巻き込まれ、なんやかんやで陣内家に戻った健二。再び敬との会話です。

(敬) OZで何でもできる今、アカウントと現実の人間の権限はほぼ等しいんです。水道局員のアカウントを盗めば水道局のシステムを好きにできますし、JR職員のアカウントを盗めばJRのダイヤを引っかき回せます。登録者10億人以上、今や世界中のさまざまな機関がOZアカウントを利用してますからね。

(佳主馬) OZの高いセキュリティ能力が裏目に出てるんだ。

(敬) その通り。大統領のアカウントを盗めば核ミサイルだって撃てるかも。

これ、ちょっと違和感を覚えました。裏目に出たのはさまざまなシステムがOZと紐づいていることであり、高いセキュリティ能力は関係ないと思うのですけど。

冷静に考えると、セキュリティ能力が低ければここまで世界中で利用されることもなかったから…、という意味なのかもしれませんが、この会話からそこまで連想するのは難しいと思います。

OZのドメインが筑波大学!?

これは割と話題になっていることですが、キングカズマがラブマシーンに果たし状を出して再戦するシーン、アドレスバーに表示されたURLは http://www.coins.tsukuba.ac.jp/~syspro/139-459 となっています。

これ、筑波大学の情報科学類のドメインですね。

OZのドメイン、再び変わる

夏希が花札で最終決戦に挑むシーンでもアドレスバーが写りますが、今度は http://www.OZ.net/~area/363-556 となっていますね。あれれ?

  • [1]解いた暗号の最後の一文字が間違っていたと敬にチャットで指摘されるシーンでニックネームが表示されています。ちなみに漫画版だとすべて大文字で「KENJI」。