アカウント名:
パスワード:
既にお漏れになった場合だけよね。そもそもパスワードを定期的に変更しろっていう理由や初出は何なんだろう。
パスワードを定期的に変更する理由とは何か [jpn.org]
過去の Unix のパスワードは、ハッシュされ、 /etc/passwd に格納されていました。 しかし、 /etc/passwd は、そのファイルがあるマシンにログインできるユーザから参照可能でした。ハッシュされたパスワードは、パスワードクラック により、時間をかければ、解析可能です。パスワードクラックされる前に、 パスワードを定期的に変更することによって、アカウントののっとりを防ぐ対策として有効でした。現在では、シャドウファイル と呼ばれるファイルに、パスワード の ハッシュ が格納され、root ユーザしか閲覧できないため、ここで述べたリスクの対策としては、パスワードを定期的に変更する必要はありません。
過去の Unix のパスワードは、ハッシュされ、 /etc/passwd に格納されていました。 しかし、 /etc/passwd は、そのファイルがあるマシンにログインできるユーザから参照可能でした。ハッシュされたパスワードは、パスワードクラック により、時間をかければ、解析可能です。
パスワードクラックされる前に、 パスワードを定期的に変更することによって、アカウントののっとりを防ぐ対策として有効でした。
現在では、シャドウファイル と呼ばれるファイルに、パスワード の ハッシュ が格納され、root ユーザしか閲覧できないため、ここで述べたリスクの対策としては、パスワードを定期的に変更する必要はありません。
ということだそうです。システムの仕様上、一般アカウントでも時間をかければ全ユーザーのパスワードがクラック出来るようなお粗末なシステム向けの対処法だったって事ですね。なので、未だにパスワードの定期変更をポリシーに掲げているようなシステムがあれば、パスワード情報が一般アカウントからアクセス出来るようなシステムを未だに使っているんですか？ って問い詰めれば良いかと。
> って問い詰めれば良いかと。
そのサイトの内容、鵜呑みにして大丈夫ですか？
鵜呑みにして大丈夫だよ。昔は実際にハッシュ読めてたし、そのリスクの対策としてなら今はやる必要はない(それ以外のリスク対策としてならやる理由はある)。
一般的な職場なら年度替わりに人事異動がある（＝パスワード漏れと同義）ので普通は定期的にパスワードを変更することになる
なんで人事異動でパスワードが漏れるの？役職共用Idなの？「あなたは営業第三課長になったのでuser idはeigyo3kachoになります、パスワードはリセットしたので」みたいな話？
みたいな話。
そんなのを一般的と言われても。
運用担当サーバの管理者パスワードを部署で共有するのは一般的だと思いますが。
別のACだけど、前にいた会社ではアカウント配布時のパスワード一覧をIT担当の人が全部持っていて、パスワードなどを変えるなら一言言ってね、ただし変えて確認用電話番号や別のメアドからのログインもできなくなったらお前の責任だぞ、って感じになってた。退社まで何も問題起きませんでしたが、退社時には担当の人に今のパスワードはこれって挨拶兼ねて知らせといたよ。
クレデンシャルを抜く人間と使う人間が別だから。タイムラグは、なかったりあったりする。
お漏れになってかつそれに気づいていない場合。あり得ないケースではないので全く無意味ではない。
何ごとにも言えることだが、メリットとデメリットのバランスにつきる。
そう、既にあなたが書いてある通り、定期的にパスワード変更するってのは、どこかで漏れていると常に仮定する場合には意味がある。多要素認証が使えない場合には依然として有効な手段ではあるので、やらないよりかはマシ。
あとは監査法人のIT監査で突っつかれるのよ、とある外資系の監査法人だと毎回監査項目に乗ってくる...
お漏れになる前でも、強制的にユニークにすることでパスワードリスト攻撃を避けられる意味があると思うけれど
毎回ユニークな新パスワードを設定するならそうだけど、徹底できるかなそれ？前n回のパスワードと一致しないものぐらいの条件だと、n+1個のパスワードをぐるぐる使い回すことになりかねない。定期変更を必要とするシステムで、パスワード設定ポリシーをがっつり固めてるところってどれぐらいあるだろう？
前のパスワードの使いまわしをあきらめる回数は大体24回であることはMicrosoft側で分かっているらしい。(Active Directoryのパスワード変更時の過去パスワード参照のポリシー有効時のデフォルトが24回)
自分のパスワードを平気で他人に教える人がいるから。アカウントが作成されない新人に自分のアカウントで仕事をさせちゃうとか。
以前は私も定期的変更させるなよと思ってましたが、意味のあるシステムを使うようになって仕方ないかと思うようになりました。基本的には十分に強力なパスワードなら変える必要はないと思っています。
しかし、私のところはそうではありませんが、例えばケータイの代理店などですと Docomo や Y モバとか au とかがデータ全部握ってるわけです。で、そこにアクセスさせるわけですけど、代理店の人間は入れ替わりもそれなりにあって、しかも彼らは自分のデータじゃなくてキャリアのデータですから責任感もそれなりなわけです。だから担当がやめた後はアカウント
なぜ桁数や使える文字種が少ない場合は変更に意味があるのか説明できますか？
本気で分からないの？
ブルートフォースアタックが一周するまでに要する時間が短いので一周する前に変えないと確実に破られる。普通は3トライミスでロックアウトとか、ブルートフォースアタックの抑止機能を入れて対処するけどね。
仮にブルートフォースアタックを受けているとして、どんな順番で行われているか不明で、今どこまで進んでいるか不明で、パスワードを変更することが本当に得なんですか？
パスワードの定期的変更について徳丸さんに聞いてみた(1) | 徳丸浩の日記 [tokumaru.org]
徳丸: それが、意味がないのですよ。パスワードを定期的に変更すべしという人の中には、パスワードを変更すると「ひらりと」パスワード攻撃を避けることができるという人がいますが、それは違います。高橋: 違うのですか?徳丸: はい。攻撃側も防御側も相手の手の内がわからない状態なので、「たまたま攻撃をかわせる」可能性もあれば、「パスワードを変更したら、たまたま攻撃に掛かってしまう」場合もあります。闇夜にむやみやたらに鉄砲を撃ってくるのを避ける状況を想像してみて下さい。むやみによけても、よけた先で弾に当たるかもしれません。
徳丸: それが、意味がないのですよ。パスワードを定期的に変更すべしという人の中には、パスワードを変更すると「ひらりと」パスワード攻撃を避けることができるという人がいますが、それは違います。
高橋: 違うのですか?
徳丸: はい。攻撃側も防御側も相手の手の内がわからない状態なので、「たまたま攻撃をかわせる」可能性もあれば、「パスワードを変更したら、たまたま攻撃に掛かってしまう」場合もあります。闇夜にむやみやたらに鉄砲を撃ってくるのを避ける状況を想像してみて下さい。むやみによけても、よけた先で弾に当たるかもしれません。
そうなると確率論の問題だから、「定期的な替えたほうがよくね?」になる。一定数球が入り1球だけ当たりで他はすべてハズレの抽選機において、パスワードを状態は単純に球をどんどん出して行っている状態だが、定期的にパスワードを変えることによって球の数が補充される。もちろん補充したところで当たることもあるが、球が補充されない状態よりかは相当マシ。
リバースブルートフォース攻撃に弱くなるって言ってるんだよ。自分から弾に当たりに行くようなものって言うのはそういう事。なので定期的な変更よりパスワードの強度を上げる方が重要視される。
パスワード強度を上げることの方が重要視されるのは同意するが、リバースブルートフォースでも元から入っている当たり玉が増えるだけで考え方は同じだぞ。いつ当たるかわからない以上は球が減ったままにしとく方が確率論としてはダメ。そんなんだから今は多要素認証が重要視されるわけで、そのうち単一要素認証はなくなる。
その説明は、当たったパスワードは、その瞬間に1度だけ使うと思ってるところがダメ。当たったパスワードをこっそりといつまでも使用したり、様子を見て後で使うこともある。だから変更に意味がある。
> ブルートフォースアタックが一周するまでに要する時間が短いので
本当にそうか？
たとえばパスワードが1文字、使える文字がAとBとCの3文字だけとして1) 利用者がパスワードをCに設定2) 攻撃者はA、Bでアタック3) 利用者がパスワードをAに設定4) 攻撃者がCでアタックって順番になれば3)でパスワードを変えた効果があるけど
例えば2周目の攻撃で5) 攻撃者がAでアタックとなると突破される
そしてそもそも攻撃者が ABCの順番で攻撃してくるとは限らない。２）のときに攻撃者がB、Cでアタックしてきたら
説明できるがお前の訊き方が気に食わないから説明しない。
突っ込まれるのが嫌で説明できないということですね、ありがとうございました
直接の正解を持ち合わせているわけではありませんが、有意な説明ができないということは、その説は間違っているのではないでしょうか。本当にそれが正しいなら「桁数や使える文字種が少ない場合はパスワード変更に意味がある」と記載した権威的資料か何かが見つかるはずです。
権威的資料を特定するのは俺には無理。元の問の答はわかるけど、権威的資料を特定できないから意味なし。
意味ないなら黙っていればいいのに構ってちゃんかな？
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
普通のやつらの下を行け -- バッドノウハウ専門家
パスワード変更で意味あるのは (スコア:0)
既にお漏れになった場合だけよね。
そもそもパスワードを定期的に変更しろっていう理由や初出は何なんだろう。
Re:パスワード変更で意味あるのは (スコア:1)
パスワードを定期的に変更する理由とは何か [jpn.org]
ということだそうです。
システムの仕様上、一般アカウントでも時間をかければ全ユーザーのパスワードがクラック出来るようなお粗末なシステム向けの対処法だったって事ですね。
なので、未だにパスワードの定期変更をポリシーに掲げているようなシステムがあれば、パスワード情報が一般アカウントからアクセス出来るようなシステムを未だに使っているんですか？ って問い詰めれば良いかと。
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
Re: (スコア:0)
> って問い詰めれば良いかと。
そのサイトの内容、鵜呑みにして大丈夫ですか？
Re: (スコア:0)
鵜呑みにして大丈夫だよ。
昔は実際にハッシュ読めてたし、そのリスクの対策としてなら今はやる必要はない(それ以外のリスク対策としてならやる理由はある)。
Re: (スコア:0)
一般的な職場なら年度替わりに人事異動がある（＝パスワード漏れと同義）ので普通は定期的にパスワードを変更することになる
Re:パスワード変更で意味あるのは (スコア:2)
なんで人事異動でパスワードが漏れるの？役職共用Idなの？
「あなたは営業第三課長になったのでuser idはeigyo3kachoになります、パスワードはリセットしたので」みたいな話？
Re: (スコア:0)
みたいな話。
Re: (スコア:0)
そんなのを一般的と言われても。
Re: (スコア:0)
運用担当サーバの管理者パスワードを部署で共有するのは一般的だと思いますが。
Re: (スコア:0)
別のACだけど、前にいた会社ではアカウント配布時のパスワード一覧をIT担当の人が全部持っていて、
パスワードなどを変えるなら一言言ってね、ただし変えて確認用電話番号や別のメアドからのログインもできなくなったらお前の責任だぞ、って感じになってた。
退社まで何も問題起きませんでしたが、退社時には担当の人に今のパスワードはこれって挨拶兼ねて知らせといたよ。
Re: (スコア:0)
クレデンシャルを抜く人間と使う人間が別だから。タイムラグは、なかったりあったりする。
Re: (スコア:0)
お漏れになってかつそれに気づいていない場合。
あり得ないケースではないので全く無意味ではない。
何ごとにも言えることだが、メリットとデメリットのバランスにつきる。
Re: (スコア:0)
そう、既にあなたが書いてある通り、定期的にパスワード変更するってのは、どこかで漏れていると常に仮定する場合には意味がある。
多要素認証が使えない場合には依然として有効な手段ではあるので、やらないよりかはマシ。
あとは監査法人のIT監査で突っつかれるのよ、とある外資系の監査法人だと毎回監査項目に乗ってくる...
Re: (スコア:0)
お漏れになる前でも、強制的にユニークにすることでパスワードリスト攻撃を避けられる意味があると思うけれど
Re: (スコア:0)
毎回ユニークな新パスワードを設定するならそうだけど、徹底できるかなそれ？
前n回のパスワードと一致しないものぐらいの条件だと、n+1個のパスワードをぐるぐる使い回すことになりかねない。
定期変更を必要とするシステムで、パスワード設定ポリシーをがっつり固めてるところってどれぐらいあるだろう？
Re: (スコア:0)
前のパスワードの使いまわしをあきらめる回数は大体24回であることはMicrosoft側で分かっているらしい。
(Active Directoryのパスワード変更時の過去パスワード参照のポリシー有効時のデフォルトが24回)
Re: (スコア:0)
自分のパスワードを平気で他人に教える人がいるから。
アカウントが作成されない新人に自分のアカウントで仕事をさせちゃうとか。
Re: (スコア:0)
以前は私も定期的変更させるなよと思ってましたが、意味のあるシステムを使うようになって仕方ないかと思うようになりました。
基本的には十分に強力なパスワードなら変える必要はないと思っています。
しかし、私のところはそうではありませんが、例えばケータイの代理店などですと Docomo や Y モバとか au とかがデータ全部握ってるわけです。で、そこにアクセスさせるわけですけど、代理店の人間は入れ替わりもそれなりにあって、しかも彼らは自分のデータじゃなくてキャリアのデータですから責任感もそれなりなわけです。だから担当がやめた後はアカウント
Re: (スコア:0)
なぜ桁数や使える文字種が少ない場合は変更に意味があるのか説明できますか？
Re: (スコア:0)
本気で分からないの？
Re: (スコア:0)
ブルートフォースアタックが一周するまでに要する時間が短いので
一周する前に変えないと確実に破られる。
普通は3トライミスでロックアウトとか、ブルートフォースアタックの抑止機能を入れて対処するけどね。
Re: (スコア:0)
仮にブルートフォースアタックを受けているとして、どんな順番で行われているか不明で、今どこまで進んでいるか不明で、
パスワードを変更することが本当に得なんですか？
Re: (スコア:0)
パスワードの定期的変更について徳丸さんに聞いてみた(1) | 徳丸浩の日記 [tokumaru.org]
Re: (スコア:0)
そうなると確率論の問題だから、「定期的な替えたほうがよくね?」になる。
一定数球が入り1球だけ当たりで他はすべてハズレの抽選機において、パスワードを状態は単純に球をどんどん出して行っている状態だが、
定期的にパスワードを変えることによって球の数が補充される。もちろん補充したところで当たることもあるが、球が補充されない状態よりかは相当マシ。
Re: (スコア:0)
リバースブルートフォース攻撃に弱くなるって言ってるんだよ。
自分から弾に当たりに行くようなものって言うのはそういう事。
なので定期的な変更よりパスワードの強度を上げる方が重要視される。
Re: (スコア:0)
パスワード強度を上げることの方が重要視されるのは同意するが、リバースブルートフォースでも元から入っている当たり玉が増えるだけで考え方は同じだぞ。いつ当たるかわからない以上は球が減ったままにしとく方が確率論としてはダメ。
そんなんだから今は多要素認証が重要視されるわけで、そのうち単一要素認証はなくなる。
Re: (スコア:0)
その説明は、当たったパスワードは、その瞬間に1度だけ使うと思ってるところがダメ。
当たったパスワードをこっそりといつまでも使用したり、様子を見て後で使うこともある。
だから変更に意味がある。
Re: (スコア:0)
> ブルートフォースアタックが一周するまでに要する時間が短いので
本当にそうか？
たとえばパスワードが1文字、使える文字がAとBとCの3文字だけとして
1) 利用者がパスワードをCに設定
2) 攻撃者はA、Bでアタック
3) 利用者がパスワードをAに設定
4) 攻撃者がCでアタック
って順番になれば3)でパスワードを変えた効果があるけど
例えば2周目の攻撃で
5) 攻撃者がAでアタック
となると突破される
そしてそもそも攻撃者が ABCの順番で攻撃してくるとは限らない。２）のときに攻撃者がB、Cでアタックしてきたら
Re: (スコア:0)
説明できるがお前の訊き方が気に食わないから説明しない。
Re: (スコア:0)
突っ込まれるのが嫌で説明できないということですね、ありがとうございました
Re:パスワード変更で意味あるのは (スコア:1)
直接の正解を持ち合わせているわけではありませんが、有意な説明ができないということは、その説は間違っているのではないでしょうか。
本当にそれが正しいなら「桁数や使える文字種が少ない場合はパスワード変更に意味がある」と記載した権威的資料か何かが見つかるはずです。
Re: (スコア:0)
権威的資料を特定するのは俺には無理。
元の問の答はわかるけど、権威的資料を特定できないから意味なし。
Re: (スコア:0)
意味ないなら黙っていればいいのに
構ってちゃんかな？