FacebookのセキュリティエンジニアであるChris Long氏は米国時間10月17日付けのブログへの投稿で、同社がユーザーのパスワード、ひいてはこうしたパスワードに守られているアカウントデータすべてをどのようにして保護しているのかについて説明した。
このプロセスには大規模な監視が伴うという。こういった監視には、（大規模データ漏えい事件の報道を受けて）われわれの多くが実施しているような作業から、攻撃者が盗んだアカウント情報を販売しようとする投稿（あるいは盗んだと自慢するような投稿までも）に目を光らせるといった作業に至るまで、さまざまなものが含まれている。さらにFacebookのセキュリティチームは、投稿された盗難ユーザー情報を集積し、盗まれた電子メールアドレスやパスワードの組み合わせが、Facebook上で使用されている電子メールアドレスとパスワードの組み合わせと一致するかどうかについてもチェックしている。
しかしLong氏は、これが「完全に自動化されたプロセス」であり、Facebookのパスワードが「ハッシュ化されていない状態」や平文の状態でFacebookの開発者らの目に留まったり、保存されることはないと約束した。
同氏は以下のように続けた。
入手した電子メールアドレスとパスワードが一致しているかどうかを確認する際、われわれはユーザーのログイン時に実行しているパスワードチェック用のコードと同じものを使って該当パスワードをチェックしている。一致した場合、そのユーザーが次にログインした際にその旨を通知し、パスワードの変更手続きを案内する。
「Open Graph」のバックエンドインフラストラクチャから世界各地におけるデータセンター構築に至るまでの技術と同様に、Facebookではセキュリティ保護対策や各種のプロトコルを社内で開発している。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
