「貧弱なパスワードは貧弱なウイルス対策ソフトよりも深刻な問題である」記事へのコメント

貧弱なパスワードを要求するシステム

[Anonymous Coward]

今日、pixiv にアカウントを作ったのですが、記号を含むパスワードを設定したところ、「パスワードには英数字しか使えません」と言われて驚きました。記号を 1 文字でも混ぜておくだけで、パスワードの強度は飛躍的に上がるのに。

パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。ウェブサービスを作成されている皆さんにちょっと考えてほしいと思った一件でした。

# これを以って pixiv を悪く言うつもりはないので AC

記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

> パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。

わかってて書いているでしょうが、困難ではないですけど、
確実にコストアップにつながりますよね。

とりあえず、「&」「?」「"」「'」あたりはHTMLやSQLなどのために対処が必要でしょうね。
使用言語やライブラリなどによってコードのほうは記号未対応の場合と一緒でいいときもあるでしょうが、
テスト項目のほうにはきちんと盛り込まないといけませんね。
（パスワード強度を上げようとしてSQLインジェクションなどに陥っては意味がないですよね）

あと、「.」と「,」

Re:

[Anonymous Coward]

> わかってて書いているでしょうが、困難ではないですけど、
> 確実にコストアップにつながりますよね。

その程度でコストアップとかいうのはサニタイズ脳じゃないですかね。

> 書面等で通達するときにトラブルになりやすいかな？

パスワードを書面で通達するんですか？
初期パスワードなら紛らわしい文字は使わなければいいだけ。

Re:記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

かつてユーザ数2000人ほど(コンピュータリテラシは低い)の組織に
システムを導入したときの話ですが、初期パスワードは自動生成文字列を割り当てました。

が、紛らわしい文字を使うとログインできないと苦情が来て対応に追われることが予想されたため、
0, o, O, 1, l, I, i, j, c, C, p, P, s, S, u, U, v, V w, W, x, X, z, Z は使わないようにして
生成しました。

こんなんでも一見複雑そうに見えるパスワードにはなりますし、
初期パスワードとしてユーザ名 + 番号みたいなものを与えて
パスワードってそういうものなんだ、みたいな間違った学習を
ユーザにさせてしまうのはよろしくないですし。