「パスワードで重要なのは記号を含むことよりも長くすること」記事へのコメント

文字数制限

[Anonymous Coward]

いまだに12文字制限のあるとこ（ゆうちょとか）、さらに8文字制限のクレジットカード系とかほんと勘弁してほしい。

Re:

[Anonymous Coward]

記号入力必須なのに、特定の記号以外は入力制限がある
(いまどき、SQL文でも直書きしてるの？)とかもやめてほしい。

Webアプリケーションファイアウォールを知らないの？

[Anonymous Coward]

Webアプリケーションファイアウォールってのがあってだな、
記号有りにして、例えば「t' OR 't' = 't」みたいなパスワード使われてしまうと誤検出が発生してしまう。

誤検出を防ぐには、当該ページ（例えば login.php への POST）に対してWebアプリケーションファイアウォールを無効にするしかなくなる。
すると、万が一SQLインジェクションとかOSコマンドインジェクションとかの脆弱性があっても、Webアプリケーションファイアウォールが作動しなくなってしまう。

なので、

・Webアプリケーションファイアウォールによって脆弱性があった場合にも悪用を防げる（場合がある）ことのメリッ

Re:Webアプリケーションファイアウォールを知らないの？

[Anonymous Coward]

SQLインジェクションはSQL発行する段階で防止すればいい話じゃないの？
結局そのファイアウォールをあてにした杜撰なプログラムになったり
ページによって例外的にそのファイアウォールを無効にするとかややこしい実装になったりで
かえってセキュリティが低下するような気がするんだけど。

Re:

[Anonymous Coward]

普通にPG屋に行ってPGを買ってきても「SQLインジェクションをSQL発行する段階で防止する」PGは売ってない
普通にFW屋に行ってWAF買ってくればSQLインジェクションをブロックしてくれるFWが売ってる