「貧弱なパスワードは貧弱なウイルス対策ソフトよりも深刻な問題である」記事へのコメント

貧弱なパスワードを要求するシステム

[Anonymous Coward]

今日、pixiv にアカウントを作ったのですが、記号を含むパスワードを設定したところ、「パスワードには英数字しか使えません」と言われて驚きました。記号を 1 文字でも混ぜておくだけで、パスワードの強度は飛躍的に上がるのに。

パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。ウェブサービスを作成されている皆さんにちょっと考えてほしいと思った一件でした。

# これを以って pixiv を悪く言うつもりはないので AC

記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

> パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。

わかってて書いているでしょうが、困難ではないですけど、
確実にコストアップにつながりますよね。

とりあえず、「&」「?」「"」「'」あたりはHTMLやSQLなどのために対処が必要でしょうね。
使用言語やライブラリなどによってコードのほうは記号未対応の場合と一緒でいいときもあるでしょうが、
テスト項目のほうにはきちんと盛り込まないといけませんね。
（パスワード強度を上げようとしてSQLインジェクションなどに陥っては意味がないですよね）

あと、「.」と「,」

Re:

[Anonymous Coward]

パスワードって、そのままDBに格納するんですかね？
それだと、いずれにしろ、セキュリティ的に問題があるような気がする。

一方向ハッシュ取って、BLOBか、あるいは、Base64かけたうえで、テキストとして保存するべきだと思うんですが。

Re:

[Tsann (15931)]

理想的にはそうですが、APOPのようなチャレンジ・レスポンス方式の場合、生パスワードが必要になりませんか？
この辺り詳しい人がいたらお願いしたいです。

Re:記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

> 生パスワードが必要になりませんか？

なります。だから「生パスワードを保管しているからセキュリティ的に問題あり。だから生パスワードが必要なサービスはやめましょう。」なんて一概にいえるはずはないんですよ。

どういう仕組みでも設計するときにはトレードオフの考慮は必要ですよ、当たり前すぎますが。