「Microsoft、ありがちなパスワードの使用を禁ずることで他社サービスから流出したパスワードによる攻撃に対抗」記事へのコメント

運用によるけど

[M-FalconSky (8868)]

つまるところ、パスワードの禁則が
* xx文字以下はNG
* 強度チェッカーでNG
* 辞書マッチでNG
    + 一般辞書単語
    + よくあるパスワード例 (new)
ってことだよね?

なので、そこまで目新しいとも思わないけど...
# クラック向けパスワード辞書とかあるし、それでのチェックしてる運用自体はなくはないと思う。

まあ、大手がやるという意味では新しいかな?
Twitterが、弱いパスワード弾く運用やってるらしいとは聞くけど...

--
M-FalconSky (暑いか寒い)

Re:運用によるけど

[segawa-akira (7153)]

このまま規則がどんどん厳しくなって、辞書にない文字列で１００文字以上とか、それをログインする毎に更新とか、３回入力ミスするとアカウント抹消とか、もう実用できないレベルになっちゃうんじゃないのかな。 ＃その前に、頭のいい人が別の方法を考えるんだろうけどね

Re:運用によるけど

[Anonymous Coward]

マイクロソフトはそこまでバカじゃない。
マイクロソフトのパスワードに関するガイダンス [microsoft.com]
ぜひ全文読んでもらいたいがとりあえず見出しだけ抜き出すと

1. 8 文字の最低パスワード長を維持する (必ずしも長いほど良いというわけではない)
2. 文字の組み合わせ (複雑さ) に関する要件を廃止する
3. ユーザーアカウントの定期的なパスワード変更を強制しないようにする

で、この後に初めて

4. わかりやすい一般的なパスワード使うことを禁止する

と出てくる。さらに続き:

5. 業務アカウントのパスワードを社外他のアカウントに使いまわさないようユーザーを教育する
6. 多要素認証を必ず利用するようにする
7. リスクベース多要素認証の方法を検討する

Re:運用によるけど

[flied onion (36971)]

> 3. ユーザーアカウントの定期的なパスワード変更を強制しないようにする
がいいなぁ。
なにがいいって、Microsoftぐらいの規模の所が明言してくれたことがね。

> 1. 8 文字の最低パスワード長を維持する (必ずしも長いほど良いというわけではない)
最近は試していないけど、outlook.comって最大16文字なんだよね。
もう少し増やしてほしい。

--
# yes, fly. no, fry.