アカウント名:
パスワード:
そろそろ「パスワードをユーザに決めさせてはいけない」というのが浸透して欲しい。
紛失した場合の回復手段を悪用されるだけなので無駄
Chromeに記憶させておけば紛失はしないでしょ
いやGoogleアカウントが消されたとかログイン出来なくなったとかだとアレだが
セブンペイの初期考察のような話だろ。紛失するかどうかしたかどうかは関係ない。
> Chromeに記憶させておけば紛失はしないでしょ
マシンが故障して、バックアップもなかったら紛失するよ。まあ RubyGem デベロッパーならバックアップくらいは期待してもいいかもしれないけど一般論としてはまったく期待できない。
パスワードが必要なら、それはサービス側で自動生成してユーザーに渡した方がいいってのは同感だけど、それがユーザーに受け入れられるかは不安がある。
いつものメアド使ったやつでええやん？
ソルトのように、ユーザー決定部分の他にサイト決定部分の連結文字列にすれば良いんだよね。
サイト決定部分がユーザーごとに別で、推測が難しいならいいけど、それだったら、パスワード全体をサイトが決めてもよくね？
サイト側で決めるんなら入力も面倒だし証明書認証でよくね？
# そして証明書が漏洩して振り出しに戻る
覚えられない→メモに書いておく→メモが流出というリスク。メモっとく部分（サイト毎に違う）＋覚えとく部分（全サイト同じ）にすれば良いか。
実際のところ、メモが流出して大事故になった例がどれほどあるというのか。昨今の流出事故を顧みると、もはやユーザーが自分でパスワードを設定できるといこと自体がセキュリティーホール。
オンラインのパスワード管理システムだとそれ自身が狙われるのでイケてないこともあるけど、ローカルのプレーンテキストだとマルウェア踏んだ状況ですら、機械的に盗まれる可能性はそこまで高くなさそうだしね。もうその時点でロガーとか仕込まれる方が現実的リスクになる。攻撃可能なのは物理アクセス可能な相手が主体で、ストレージ暗号化してマメにロックしてればショルダーハック警戒すれば事足りる。
ただ、事例ベースで話をするとパスをメモる時点で論外扱いされて、それによる副次被害が余程大きくないと話題にならず認知されないことも多い。
そろそろVirusTotalみたいにhttps://haveibeenpwned.com/とかGoogleが買い上げて、パスワード使いまわしさせないシステムとか作ってもいいと思うの。
ユーザーがパスワードを自分で決めれないようにすれば良いだけで、そんなものは不要だよ。
それができないからでしょ？
now.sh のようにパスワードなしでメールのみで認証しているサービスもありますね。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson
パスワードの運用ルール (スコア:0)
そろそろ「パスワードをユーザに決めさせてはいけない」というのが浸透して欲しい。
Re: (スコア:0)
紛失した場合の回復手段を悪用されるだけなので無駄
Re: (スコア:0)
Chromeに記憶させておけば紛失はしないでしょ
いやGoogleアカウントが消されたとかログイン出来なくなったとかだとアレだが
Re: (スコア:0)
セブンペイの初期考察のような話だろ。
紛失するかどうかしたかどうかは関係ない。
Re: (スコア:0)
> Chromeに記憶させておけば紛失はしないでしょ
マシンが故障して、バックアップもなかったら紛失するよ。
まあ RubyGem デベロッパーならバックアップくらいは期待してもいいかもしれないけど
一般論としてはまったく期待できない。
パスワードが必要なら、それはサービス側で自動生成してユーザーに渡した方がいいってのは同感だけど、
それがユーザーに受け入れられるかは不安がある。
Re: (スコア:0)
いつものメアド使ったやつでええやん？
Re: (スコア:0)
ソルトのように、ユーザー決定部分の他にサイト決定部分の連結文字列にすれば良いんだよね。
Re: (スコア:0)
サイト決定部分がユーザーごとに別で、推測が難しいならいいけど、それだったら、パスワード全体をサイトが決めてもよくね？
Re: (スコア:0)
サイト側で決めるんなら入力も面倒だし証明書認証でよくね？
# そして証明書が漏洩して振り出しに戻る
Re: (スコア:0)
覚えられない→メモに書いておく→メモが流出というリスク。
メモっとく部分（サイト毎に違う）＋覚えとく部分（全サイト同じ）にすれば良いか。
Re: (スコア:0)
実際のところ、メモが流出して大事故になった例がどれほどあるというのか。
昨今の流出事故を顧みると、もはやユーザーが自分でパスワードを設定できるといこと自体がセキュリティーホール。
Re: (スコア:0)
オンラインのパスワード管理システムだとそれ自身が狙われるのでイケてないこともあるけど、
ローカルのプレーンテキストだとマルウェア踏んだ状況ですら、
機械的に盗まれる可能性はそこまで高くなさそうだしね。
もうその時点でロガーとか仕込まれる方が現実的リスクになる。
攻撃可能なのは物理アクセス可能な相手が主体で、
ストレージ暗号化してマメにロックしてればショルダーハック警戒すれば事足りる。
ただ、事例ベースで話をするとパスをメモる時点で論外扱いされて、
それによる副次被害が余程大きくないと話題にならず認知されないことも多い。
Re: (スコア:0)
そろそろVirusTotalみたいにhttps://haveibeenpwned.com/とかGoogleが買い上げて、パスワード使いまわしさせないシステムとか作ってもいいと思うの。
Re: (スコア:0)
ユーザーがパスワードを自分で決めれないようにすれば良いだけで、そんなものは不要だよ。
Re: (スコア:0)
それができないからでしょ？
Re: (スコア:0)
now.sh のようにパスワードなしでメールのみで認証しているサービスもありますね。