アカウント名:
パスワード:
パスワード変更の是非に関しては ライフハックのこの記事 [lifehacker.jp]がきれいにまとまってるんだが、要約すると1.パスワードの定期的な変更はユーザーのストレスになる。2.強制的なパスワード変更にストレスを感じたユーザーは強度の低い簡単なパスワードをいくつか使いまわしたがるようになる。3.挙句にモニタに付箋紙でパスワードを貼り付ける勇者登場。のほか、●侵入から直ちに実害を及ぼす行為に移れるアカウント(オンラインバンキングなど)では定期的に変えて
とはいえ、情報の漏洩などが目的で侵入後様子を見て有効な情報が流れてくるまでまってる潜伏型の場合は必ずしもムダじゃない。
これについてはパスワードの定期的変更が特定の観点で有効だとは言えるけれど、このケースを懸念する場合にはより適切な対策はあるわけで、結局「パスワードは定期的に変更しましょう」が推進できるような状況ではないと思うんだよね。
何らかのタイミングで利用者のパスワードを攻撃者が手に入れて長期的(潜伏的)に不正ログインされているようなケースであれば、そのサービス(システム)がリスクベース認証のような形でも常時でもよいが、ログイン履歴を正規のアカウント所有者に通知できる仕組みがあればよく、それを確認して不正ログインの可能性があるとわかった時点でパスワード変更なりの対策をすればよいわけで、これであれば「定期的に」変更する必要はない。
徳丸さんの記事などでも言われていると思うけど仮に定期的変更に何かしらの意味があったとするのであれば、本来はそれよりも適切な対策(前述の不正ログインを感知する仕組みなど)が用意されているべきで、「パスワードの定期的変更」をあたかも有効な施策のように公言するのはどうかというのが個人的な見解。
きちんと検証もせず「パスワードは定期的に変更しましょう」なんて掲載しているウェブサイトは個人的には信用できない。そういうこと書くなら根拠なりどういう認識があるのかを書いて欲しいと思って今回のIPAに対しても9月3日の午後にメールで追及したんだが、俺の問い合わせがきっかけで内容を変更したのかは不明。
それってすでに侵入された後の気がしますが。定期的な変更なら侵入前のパスワード変更が可能な確率が高い。all or nothing じゃなくて、確率の問題ならやらなくても良い?
何をおっしゃっているのですか?元のコメントで潜伏型と書かれているのはすでに侵入されているケースですよね。
それと、どうしても可能な限り安全策を講じたいという考えにおいて、パスワードの定期的変更が多少なりとも意味を持つという主張をすることは可能ですが、「パスワードが漏洩している状況」で「パスワードを定期的に変更しましょう」などと悠長なことを言っているようでは安全もくそもないというのが定期的変更懐疑派のひとつの主張ではないのでしょうか。
パスワードが漏洩(他人にばれている)状況を想定するのであれば、パスワードを付け直すよりも優先して講じるべき対策が山ほどあるでしょうに。
パスワードを攻撃者が手に入れた時点と、実際にログイン試行がある時点は別です。漏洩リストを元にした潜伏型が、実際にログインの成功を事前に確認する必要は無いと思いますが。
それにしても、パスワード変更は、攻撃者がパスワードを手に入れてからログインするまでにユーザーがパスワードを変更した場合のみ、意味がある防御策ということになります。
防御力をあげるためには頻繁にパスワードを変更する必要がありますが、それでは、ユーザーの利便性や簡単なパスワードを設定されてしまう危険を考えた場合に、割に合わないという主張なのだと思います。
条件を限定してよいなら、潜伏してる奴が「パスワードの変更」を横取りして新パスワードもゲットしてしまったり、それによりその人のパスワードの法則(例えば「イニシャル+変更日」みたいな)を捕まれて他のサービスも突破されちゃったりするリスクも!標的型ならあり得ない話ではないし…
…若干考えすぎだな。(上のだけを考えたら「長い文なら短いランダムパスワードより強い」が必ずしも正しくないように見えちゃうし、ちゃんと確率や定量的なこと言わないといけない)
システム側の視点に立てば,いくらでも対策する手段があるだろうけど,ユーザー視点で見れば,使いたいサービスがそのような対策がなされていない場合はどうすればよいの?
異なるシステムでのID/PASSの使い回しは論外として,内部犯でID/PASSが漏れた場合など,定期的な変更を行っておけば変更した人の情報漏洩は防げる。いくら内部犯だって,そう度々データ抜き出しもしないでしょうし。
パスワードが他人にバレてから変更するまでを除いてはパスワードの定期変更によって対策になるという主張なのかもしれませんが、それって一般的にパスワードの定期的変更を推奨する理由にはならないですよね。
そんな限定的なパスワードが他人にバレているという前提における保険的対策を、一般的なセキュリティ対策の項目の一つとして堂々と掲げるのってどうなのというのが定期的変更反対派の主張ですよ。
社内システムなり不正ログインを検知できないサービスなりで個人的にパスワードを保護したいなら、定期的変更を行って勝手に保護していればいい。
でもそれをサービス提供者なりセキュリティを語る組織が、その効果も明示せずに「パスワードの定期的な変更を推奨します」などというのは滑稽かと。
元の勤務先はパスワードの定期的な変更をしていませんでした。だから今でも僕がアクセスできる可能性が大きいです。そういうのってヤバいんじゃないですかね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
ちょっとメモ的なこととして (スコア:4, 興味深い)
パスワード変更の是非に関しては ライフハックのこの記事 [lifehacker.jp]がきれいにまとまってるんだが、要約すると
1.パスワードの定期的な変更はユーザーのストレスになる。
2.強制的なパスワード変更にストレスを感じたユーザーは強度の低い簡単なパスワードをいくつか使いまわしたがるようになる。
3.挙句にモニタに付箋紙でパスワードを貼り付ける勇者登場。
のほか、
●侵入から直ちに実害を及ぼす行為に移れるアカウント(オンラインバンキングなど)では定期的に変えて
Re:ちょっとメモ的なこととして (スコア:3, 興味深い)
とはいえ、情報の漏洩などが目的で侵入後様子を見て有効な情報が流れてくるまでまってる潜伏型の場合は必ずしもムダじゃない。
これについてはパスワードの定期的変更が特定の観点で有効だとは言えるけれど、このケースを懸念する場合にはより適切な対策はあるわけで、結局「パスワードは定期的に変更しましょう」が推進できるような状況ではないと思うんだよね。
何らかのタイミングで利用者のパスワードを攻撃者が手に入れて長期的(潜伏的)に不正ログインされているようなケースであれば、そのサービス(システム)がリスクベース認証のような形でも常時でもよいが、ログイン履歴を正規のアカウント所有者に通知できる仕組みがあればよく、それを確認して不正ログインの可能性があるとわかった時点でパスワード変更なりの対策をすればよいわけで、これであれば「定期的に」変更する必要はない。
徳丸さんの記事などでも言われていると思うけど仮に定期的変更に何かしらの意味があったとするのであれば、本来はそれよりも適切な対策(前述の不正ログインを感知する仕組みなど)が用意されているべきで、「パスワードの定期的変更」をあたかも有効な施策のように公言するのはどうかというのが個人的な見解。
きちんと検証もせず「パスワードは定期的に変更しましょう」なんて掲載しているウェブサイトは個人的には信用できない。
そういうこと書くなら根拠なりどういう認識があるのかを書いて欲しいと思って今回のIPAに対しても9月3日の午後にメールで追及したんだが、俺の問い合わせがきっかけで内容を変更したのかは不明。
Re:ちょっとメモ的なこととして (スコア:1)
それってすでに侵入された後の気がしますが。
定期的な変更なら侵入前のパスワード変更が可能な確率が高い。
all or nothing じゃなくて、確率の問題ならやらなくても良い?
[Q][W][E][R][T][Y]
Re: (スコア:0)
何をおっしゃっているのですか?
元のコメントで潜伏型と書かれているのはすでに侵入されているケースですよね。
それと、どうしても可能な限り安全策を講じたいという考えにおいて、パスワードの定期的変更が多少なりとも意味を持つという主張をすることは可能ですが、「パスワードが漏洩している状況」で「パスワードを定期的に変更しましょう」などと悠長なことを言っているようでは安全もくそもないというのが定期的変更懐疑派のひとつの主張ではないのでしょうか。
パスワードが漏洩(他人にばれている)状況を想定するのであれば、パスワードを付け直すよりも優先して講じるべき対策が山ほどあるでしょうに。
Re:ちょっとメモ的なこととして (スコア:1)
パスワードを攻撃者が手に入れた時点と、
実際にログイン試行がある時点は別です。
漏洩リストを元にした潜伏型が、実際にログインの成功を事前に確認する必要は無いと思いますが。
[Q][W][E][R][T][Y]
Re: (スコア:0)
それにしても、パスワード変更は、攻撃者がパスワードを手に入れてからログインするまでに
ユーザーがパスワードを変更した場合のみ、意味がある防御策ということになります。
防御力をあげるためには頻繁にパスワードを変更する必要がありますが、
それでは、ユーザーの利便性や簡単なパスワードを設定されてしまう危険を考えた場合に、
割に合わないという主張なのだと思います。
Re:ちょっとメモ的なこととして (スコア:1)
条件を限定してよいなら、潜伏してる奴が「パスワードの変更」を横取りして新パスワードもゲットしてしまったり、
それによりその人のパスワードの法則(例えば「イニシャル+変更日」みたいな)を捕まれて
他のサービスも突破されちゃったりするリスクも!
標的型ならあり得ない話ではないし…
…若干考えすぎだな。
(上のだけを考えたら「長い文なら短いランダムパスワードより強い」が必ずしも正しくないように見えちゃうし、ちゃんと確率や定量的なこと言わないといけない)
Re: (スコア:0)
システム側の視点に立てば,いくらでも対策する手段があるだろうけど,
ユーザー視点で見れば,使いたいサービスがそのような対策がなされていない場合はどうすればよいの?
異なるシステムでのID/PASSの使い回しは論外として,内部犯でID/PASSが漏れた場合など,
定期的な変更を行っておけば変更した人の情報漏洩は防げる。
いくら内部犯だって,そう度々データ抜き出しもしないでしょうし。
Re: (スコア:0)
パスワードが他人にバレてから変更するまでを除いてはパスワードの定期変更によって対策になるという主張なのかもしれませんが、それって一般的にパスワードの定期的変更を推奨する理由にはならないですよね。
そんな限定的なパスワードが他人にバレているという前提における保険的対策を、一般的なセキュリティ対策の項目の一つとして堂々と掲げるのってどうなのというのが定期的変更反対派の主張ですよ。
社内システムなり不正ログインを検知できないサービスなりで個人的にパスワードを保護したいなら、定期的変更を行って勝手に保護していればいい。
でもそれをサービス提供者なりセキュリティを語る組織が、その効果も明示せずに「パスワードの定期的な変更を推奨します」などというのは滑稽かと。
Re: (スコア:0)
元の勤務先はパスワードの定期的な変更をしていませんでした。
だから今でも僕がアクセスできる可能性が大きいです。
そういうのってヤバいんじゃないですかね。