WEBアプリでのメールアドレスの保存方法（管理方法）

Question

WEBアプリで公開を目指しており、パスワード変更機能を作成したいと考えております。

事前にユーザにメールアドレスを登録してもらい、ユーザーが「パスワード変更する」などをクリックした時、そのユーザーのメールアドレスに仮パスワードを送信するなどで実装しようと考えております。

メールアドレスなどを登録するWEBアプリなどは数多くあると思いますが、登録したメールアドレスは単純にDBに保存して管理するのでしょうか。

セキュリティ対策で何らかの処置をするものなのでしょうか。

Answer 1

そのままメールアドレスをDB登録して構わないと思います。そもそも、そういったWEBシステムにおいてDBは背後に隠れていて、間違ってもエンドユーザーが直接触るものでなく、また触らせないものだからです。DB登録自体に何かの対策を図るというよりも、システム全体として不正アクセスなどへの対処を怠らないことで、情報流出への備えとします。

問題はむしろパスワードです。管理しないことにはシステム運用できませんが、かと言ってそのままDB保存したら危険です。パスワードは暗号化して保存する方法をとるのが普通です。当然システムとしては復号化できなければなりません。

私の知るところでは、例として Ruby on Rails + devise を試行してみると、一通り上記のことが手にとるように体験できるのですが、いかがですか？

Comments

[tanat]

> パスワードは暗号化して保存する方法をとるのが普通です。

今時のシステムでパスワードを暗号化して保存するというのは普通ではありません。
ハッシュ値（複合は出来ないが値の検証は出来る）で保存するのと混同されている様に思います。

[matsuand]

認識間違いであったようです。失礼しました。質問者の方へはしかるべく。

[ns3]

メールアドレスの保管方法について承知しました。
＞システム全体として不正アクセスなどへの対処を怠らない
この点については別質問にて質問させていただこうかなと考えております