[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
[orca-users:15995] 一部のレセコン（ORCAではない）のログインパスワードが平文で保存されている件
- To: ORCA全般の話題 <orca-users@xxxxxxxxxxxxxx>
- Subject: [orca-users:15995] 一部のレセコン（ORCAではない）のログインパスワードが平文で保存されている件
- From: Hiroaki Inomata <inomatah0612@xxxxxxxxx>
- Date: Sat, 31 Oct 2026 06:52:27 +0900
- Arc-authentication-results: i=1; mx.google.com; arc=none
- Arc-message-signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20260327; h=content-transfer-encoding:to:subject:message-id:date:from :mime-version:dkim-signature; bh=jdbvefsMmqP11cfR6xxzmelJ9bZT+Mde87M3Yq3oDoo=; fh=qLnXkjxH4gvqX5hbwAP9xR7DaIvIM2CMn5jA7V75g3k=; b=g57yJBobg9qWh7PL3p2t51g4bGSkiXDeWZeqTVG990+Roi+qdGxEBWM01eR7p11WJd T6ybk5w8PAGQTNF8lCl0T6Px3jrtzBXq1a8hC7h7gAm5CIpcYeeBQ/vnKvn++7LQ1wV4 DlUPHUHRPd0c4XWDPZBMxKo+5gmru+5GuZjZBK1dpAHR1BhtJnorWzxWRXC/jZ5CP43c 2h1fkQurt0i3xA0n9znOFhHjC3cV/nBHu2ykmzv56Y7GFUYVkBKxZMugQsgk81ytG502 ZzNZIgubV2/68MZ+rcOP9AIPtDdwGIGbejnf4EYe+H06BFzNIT8JtxjN/rC9F/3qd8lT vPGQ==; darn=orca.med.or.jp
- Arc-seal: i=1; a=rsa-sha256; t=1793397158; cv=none; d=google.com; s=arc-20260327; b=AKV77K5jKyTYSmmtKN2owH3yPOa7gWWRsnzf7xo75w2cLYqyKG6fp+BA2jTvEC0vLo lFUO8xt/hJbhXV9mOT9djNFg2z2M20fjSZmyIuR8sjgIfhjRmc/NtztmAnpnADM9wkf8 74fJG0PgcuR4wQdhNAUfMLwoPmY7wK8eZn2atRiDGMBCMgy1slbmSUBOrv0IvUzAYCqu izOzJufo14W6wuCqmPOjsZV0cg3FMSAp2cIf2d9OsJrQTIP55xAw6Ude3dPoO/AS3LRb +yn4bXd5J62CXSCZsGlbQDDZUxwCKNOLmlRicFIer1WCyzAmapYo8AJWGPjEFTJGo59h NjrQ==
猪股@横浜です。
現在使っているレセコン（ORCAではない）のデータ移行をしようと思ってデータベース覗いたんですが、
これがひどい。
ユーザーのログインアカウントのパスワードが平文で保存されていました。
具体的には
ID. password
hope001 1234
fuji002. 5678
というようなフォーマットです。
厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版」システム運用編
https://www.mhlw.go.jp/content/10808000/001582980.pdf
には、次のような記述があります。
>② 利用者の識別・認証にユーザ ID とパスワードの組み合わせを用いる場合、
>それらの情報を、本人しか知り得ない状態に保つよう対策を実施すること。
要するにシステム担当者レベルであっても、利用者のパスワードはわからないように
暗号化なり、ハッシュ化なりをして保存せよということです。
ちなみに 1234 を SHA-256 という方式でハッシュ化すると
03ac674216f3e15c761ee1a5e255f067953623c8b388b4459e13f978d7c846f4
になります。
ここから元のパスワード 1234 を推測するのは難しいので、仮にこの数値が漏洩したと
しても不正ログインはある程度はブロックできる、という理屈です。
（実際には、passwdのようなよくあるパスワードは同じハッシュ値になって推測
しやすいため、もうひと工夫します）
しかし、ガイドラインに明確に違反しているソフトが大手を振って販売されている
というのは、なんとかならないかなあと思います。
猪股弘明
精神保健指定医