暗証番号はやっぱり誕生日?

saitoh 曰く、 "asahi.comの記事によると、偽造キャッシュカードによる預金の不正な引き出しの被害にあったカードの暗証番号の41%が生年月日やそこから類推できる番号を使用していたという（金融庁まとめ）。
暗証番号に誕生日等は使ってはいけないと以前から言われているし、銀行の口座開設申込書にも注意事項として書かれている。それでも誕生日等を使ってしまう人が偽造犯が成り立つだけ多くいるということだ。やはり、無意味な4桁数字を暗記することは一般には難しいのだろうか。"

盗まれたときの対策

[Anonymous Coward]

カードの裏に関係のない4桁の番号を書いてます。
盗まれたときに犯人による暗証番号のアタック回数を少しでも減らすことができます。

数字の番号はもうやめにしよう

[mu (9770)]

数字のような記憶しづらくて忘れやすいようなものはもうやめて，可変長のかなのパスワードにすれば，簡単に思いつくし，忘れにくいものになると思います．

＃自分の名前そのものにしたり，「ひらけごま」にする人続出かもしれませんがね，まあ，それはそれで登録できなくすればいいし．

Re:数字の番号はもうやめにしよう

[celibidache (14043)]

>> 「例えばこんな決め方・覚え方があるよ」とアドバイスすれば
Logon passwdで同じことをしたことがあったけど、
例示した文字列をそのまま使われてしまった :-(

大学時代の学籍番号

[giggs (8330)]

私は大学時代の学籍番号をキーに使っています。4年間も使っていたので頭に染み付いているし、大学の方針で数字は乱数だったので私を知っていても覚えている人はいないでしょう。
その数字に、キャッシュカードもしくはクレジットカード上のある部分の数字に対応して、ある操作をした数字を暗証番号にしています。まだこの法則をすべてのカードに適応したわけではないのですが。
これだと、どれかひとつの番号を盗まれても安心だし、カードがあれば元のキーから暗証番号が生成できます。暗算でボケ防止にもなる。お勧め。

Re:大学時代の学籍番号

[Joppy (23879)]

アルゴリズムが公開されていないことを根拠に暗号の
強度を確信するのは危険かと・・・。

そもそもたった4桁で安全性もへったくれもないと思いますが。

Re:大学時代の学籍番号

[giggs (8330)]

「確信している」とはどこにも書いていませんが。
ほかのツリーにコメントしましたが、銀行系なら3回以内に見破られなければいいわけで（実質2回？）。
一番安全なのは完全なランダムなのはいうまでもありませんが、そこまでする必要ないでしょう。私のコメントは利便性と安全性のトレードオフの中で、ひとつの案です。

少なくとも、下記の2点を満たしていれば直接手元を見るのでない限り安全（見破られる確率がランダムに近い）といっていいんじゃないでしょうか。
・誕生日でない
・どのカードの番号も違う

あるプロバイダは……

[Anonymous Coward]

とある有名プロバイダはお客様番号を忘れたと言ったら
・電話番号
・生年月日
・氏名
の三つを述べるだけでプランの変更もろもろをさせてくれました。
そのときは便利で助かったんだけど、セキュリティ的にはかなり問題があるかと。

上記三つくらい簡単に調べれますもんね。

せぱてやぱ

[n225 (16459)]

つめいめへ　つひしいゆ　やせべそせ　すえいすわ　ひざざびざ　ぜされゆも

とか今も覚えているのに、4桁の暗証番号を簡単に覚えられないのは、暗証番号を暗唱しないからだと思う。

誕生日の使用は禁止ではない

[uk (19560)]

暗証番号に誕生日を使用すること禁止ではないということですよね。
誕生日とかの使用を禁止しようと思えば簡単だと思いますけど。

禁止にしない理由はしょうか？
1.誕生日を禁止にしてしまうと「暗証番号忘れた、教えてくれ！」っていう問い合わせの対応にものすごいコストがかかるので
2.暗証番号を推測されても損するのは銀行じゃなくて預金者だからまぁいいや
3.誕生日を使って損害が発生しても補償しないよっていう契約があるから

使用頻度次第かも

[otiak (11469)]

使わないと忘れますねー。

暗証一般に言えることかもしれませんが。

Re:使用頻度次第かも

[virtual (15806)]

暗証番号は暗唱するとよく覚えられますよ。
ええ、たとえあなたが覚えられなくても周りの人たちが。

Re:使用頻度次第かも

[tarosuke (2403)]

サトラレ？

私の番号例

[shunsuke (1586)]

子供の頃使ってた、自転車のチェーンキーの4桁の番号
その鍵は、紛失してしまったので、もはや私自身とは何も関係ない。

＃以下、よい番号例の紹介ツリーとします。

Re:私の番号例

[cloudy (1160)]

自分のローカルディスクにあるファイルのmd5 checksumをとり、
先頭から(a-fは除いて)4桁抜き出して使っています。

どのファイルから生成したかを覚えておけば、数字を忘れて
しまっても再現可能で、メモしておく必要もありません。

Re:ローカルファイルのハッシュから...

[cidy (14808)]

例えばどんなファイルなんでしょうか。

システム固有のファイルならシステムをアップデートした際に変わってしまう可能性がありますし、自分で作成・編集したファイルならほぼ更新しないファイルでないと使えない？

また、予期せぬアクセス(ウィルスやワーム、他人による編集/破損)やディスクトラブルでも手痛いと思いますので…忘れてもいいやだとマズイ気がします。

Re:私の番号例

[Anonymous Coward]

小学生の頃に使っていた自転車の車体番号。
アルファベット込みで7桁もあったのでいろいろ変化させることができ重宝してます。

Re:私の番号例

[Anonymous Coward]

体のとある部分のサイズにひとつ数字をくっつけて暗証番号にしてる、という女性が
知り合いにいました。なかなか良い案かと思います。

Re:私の番号例

[Katuragi (13740)]

あっ同じです。それも２つ。
違うメーカーのチェーンキーを買っても何故か同じ番号だったので覚えちゃいました。あとは自分になじみの深い番号とか。

誕生日を使う時は、単純に数字４桁ではなくて英数字とセットにして使うようにしてます。

--
-- ラテール部参加者募集中

電話番号だけど

[unchikun (14429)]

・実家の電話番号
・友達の電話番号
・自宅の市外局番
・会社の内線番号
とか、いろいろです。

Re:私の番号例

[chute (19365)]

たまたま買った４桁錠（大学のロッカー用）の番号です．
順番を入れ替えて数パターン使っています．
鍵は当然のように行方不明です．

もう一つは，テンキー上の指の動きで記憶というものも．
例えばYなら7592とか．

Re:私の番号例

[sumeshi0206 (12305)]

名前の漢字が４文字なので画数で…
山田太郎　だったら
３５４８

ちなみに数種類あるカード全部同じ番号です。←ダメな例
だって覚えられないし。

Re:私の番号例

[quililila (23086)]

えーと、このツリーはソーシャルハッキングのツリーですか？

ACならまだしも、IDでヒントを書くなんて・・・・・

Re:私の番号例

[paku (11283)]

これらの情報で類推できる人はきっと何の情報もなしにあてられるんじゃないかと思います(笑)

#自転車のチェーンロックの番号って意外に居るんだなぁ…(笑)

Re:私の番号例

[genie (16846)]

現彼女と、前の彼女と、前の前の前の彼女の誕生日を
番号にしてるカードを使い続けてます。

# 意外に忘れないから良い番号だと思うんだけど。

--
no signature

Re:私の番号例

[kitsune.info (18329)]

じゃあ、私は次の彼女の誕生日で。

--
[わかってもらうことは難しい。わかってあげることは、もっと難しい。]

うほっ

[sillywalk (15002)]

お気に入りのスラドメンバーのID(4桁限定)…だったらすごくイヤ(汗

--
And now for something completely different...

アナ空輸では普通ですよ

[Anonymous Coward]

ANA SKY WEB - パスワードをお忘れの方 [ana.co.jp] にはこう書かれています。

(参考)パスワードの初期値について
ご入会の際の情報に基づき、パスワードは会員ご本人様の生年月日の月日の数字４桁となっています。
なるべく早く変更することをお勧めします。
パスワードは生年月日の月日（4桁）で初期設定
例）
1965年 9月12日生まれ→パスワード 0912
1970年 5月1日生まれ→パスワード 0501
1982年12月5日生まれ→パスワード 1205

「なるべく早く変更することをお勧めします」というのは どうしてなんでしょ？

JALは (Re:アナ空輸では普通ですよ)

[atapy (14031)]

アクセス番号が4桁だった時代からの会員ですが、
確か何の番号とも関係ない4桁の数字がデフォルトでした。
こないだ来たICサービスの暗証番号もランダム。

航空券の決済に使えちゃうパスワードだから、
この程度の配慮はして当然といえば当然なのかも？

誕生日は誕生日なのですが・・・（私の例

[kyanny1 (13427)]

学生時代にハマっていた、某ギャルゲーの女の子の誕生日を番号にしています。
当時本当に熱をあげていたキャラだったので、確実に覚えている上に、ハタからみると私と全く関係ない番号に見えるので。

#以下、あんまり褒められたもんじゃない番号の紹介ツリー・・・にしても有効利用はできなさそうだなぁ（汗

oracle

[SHAM69 (25595)]

さすがに今は違うだろうけれど、
「oracle」のパスワードって、「oracle」じゃなかったですか？

#あえて「sqlserver」にしたやつがいたなぁ。

--
if the kid?

Re:oracle

[yaizawa (11984)]

Oracle使ったこと無いのでなんともいえませんが， とりあえず「olacre」にでも変えておけば覚えやすくていいんじゃないでしょうか．(を
# LとRをうまく発音できないのでID．

Re:oracle

[nabepyu (9623)]

system/manager だったり、
internal/oracle だったり、
scot/tiger（これは非力）

まぁ、初期パスワードだからしょうがないです。

Re:oracle

[orangeful (21839)]

もういっちょ
sys/change_on_install

9i以降、ウィザードでデータベースインスタンスを作るとパスワード変更画面が出て、managerとchange_on_installは受け付けられなくなりました。
でも後からコマンドラインで変更する時にはmanagerでもchange_on_installでも通ります。

＃ウチの開発用マシンはわざわざ後からchange_on_installに戻しました。複数人で共用するので不便なもので。試験用のランダムデータしか入っていないし。

--
名物に旨いものなし！

Re:oracle

[nabepyu (9623)]

データベースへのアクセス許可のID/PWDはどうしても開発者はみんな知ってしまうし。
みんなで共有しますから、わりとわかりやすいのんが好かれますね。
会社名とか、システム名だとかを設定したりしますね。
（な～んて言っていると、情報処理試験のシステム管理にうからないなぁ。。。）

アレゲ

[Li Luxing (7797)]

　4桁の数字で絶対に忘れられない製品のものを使っています。
　/.に来ている人ならば心の灯火とも言えるチップが一つくらいあるのではないでしょうか。

　6502・6800・6809・8080・8085・8155・・・・

--
李　露星

Re:アレゲ

[kachou (4553)]

問題は、カード毎にCPUやROMやS-RAMやUSARTにPPIの4桁の割り当てが判らなくなって、困った事がある。

8049,80848,8749と混乱したことも。

#今じゃ、全部統一してます。
#最近は4桁の数字のチップなんて少ないけどね。

--

/* Kachou Utumi
I'm Not Rich... */

Re:アレゲ

[nomoyan (22449)]

アレゲできりのいい4桁の数字にすれば。
2^10とか。

＃自分では使ってないのでID

どの程度なら類推できるか？

[snd (14690)]

生年月日とどの程度無関係なら類推されないのでしょう？
例えば、生年月日1の位と10の位を足したもの+日の数字+好きな数字というのを並べかえたものはセキュリティ的にOKか？とか。
#私の暗証番号はこれと似た方法で生成することが多いです
それとも、それでも危ないので、完全ランダムにしないと安心はできないのか？
生年月日のいずれにも含まれない数字のみで暗証番号とか作ったら、それはそれでセキュリティ低下しそうだし...
というか、日本の銀行カードの暗証番号が4桁しかないのが問題な気もします。
かといって16桁とかあっても、暗唱番号にするには努力が必要な気がしますが(^^;
#相変らず自分の携帯の番号が覚えられないけどID

Re:どの程度なら類推できるか？

[giggs (8330)]

たいていATMなら、3回間違えるとロックされ、解除するにはサービスセンターに電話して本人確認やらいろいろ面倒な手続きが必要になっている。
Webサイト上でも、たいていそうなっているはず。すくなくともみずほは3回間違えたらロックされた。
何回も試行できるパスワードと同列には論じられないのでは？

Re:どの程度なら類推できるか？

[Lpenguin (19629)]

「数字４ケタなんてパスワードとしては甘すぎない？」って話題で話をしてたら、

「あれはpasswdじゃなくてpass phraseだから」

って意見が出ました。よーするに秘密鍵(=カード)を盗まれるなってことらしいです。

# もっともpass phraseだからって簡単なものでいいってわけはないけど

むずかしいのは

[Anonymous Coward]

> 無意味な4桁数字を暗記することは一般には難しいのだろうか。

暗記することが難しいんじゃなくて
無意味な4桁の数字を作り出すのが難しい

…んじゃないかと。

NGワード

[s02222 (20350)]

ふと思ったんですが、それが入力されたら口座がロックされる番号とかを登録できるようにしたらセキュリティー上どうでしょう? 自分の誕生日とかその他、推測されそうだけど自分が間違って入力することはあり得ない番号をいろいろ登録しておいたり。

#まあ、推測されないパスワードにしておけば3回お手つきルールと同じかな。

Re:10年くらい前に聞いた話

[coldfusion (23839)]

簡単でない数字を１文字つけるのなら大丈夫？
ま、数字を複数つけて（それも頭とお尻とか、途中にはさむとか）やればぐっと安全性は高まりますね。自分も忘れてしまう可能性も高いですが。
----- 暗証番号なんて飾りなんです(違う)

Re:10年くらい前に聞いた話

[naruaki (2658)]

>簡単な数字を一個
辞書に載っているような文字列は、簡単に破られると聞いた時に取った手段がこれだな。
４桁数字、それも身近なヤツ＝誕生日になってしまうよな。
５桁だったら．．．簡単な数字を一個付加でも、「0」「1」「7」など組み合わせが生じて、今報道されてるよか被害は少なかったのではないだろうか？

どこか、８桁サービスしている金融機関ありません！？

Re:10年くらい前に聞いた話

[ruto (17678)]

関西アーバン銀行：数字以外にアルファベット、暗証番号４６億通りに－－７月から [mainichi-msn.co.jp]

Re:そもそも日付はさけるべき

[bakuchikujuu (16666)]

　学生時代に、他の人の机の上に転がっていたチェーンロック（番号を変更できるっぽいやつ）を、暇つぶしにおそらく誕生日だろうと考えて0101から1231まで試したらあっさり解けました。

＃それを見た持ち主に「なんで番号わかった？」と聞かれて「たぶん誕生日だと思って」と答えたら、「なんで誕生日知っている？」と問いつめられました。(笑)

Re:そもそも日付はさけるべき

[Elbereth (17793)]

昔チェーンロックの番号忘れて、最初から最後まで試したけど
なぜか開かなかった苦い思い出が……

Re:そもそも日付はさけるべき

[Nomad-AY (2520)]

>昔チェーンロックの番号忘れて、最初から最後まで試したけどなぜか開かなかった苦い思い出が……

0000 から始めて 9998 まで試したけど開かなかったので壊しちゃいました ;-)

--
タブレット中毒者。

Re:ATMでの警告は…

[arkas (10211)]

警告は見たことないですが、生年月日と関連するような番号を設定されたカードを発見したら、口座をロックするとか警告するとかしたくなる気持ちもわからんでもない。

今後、そういった口座の不正引き出しの責任を銀行側も取らなければいけない、とすれば、ね。

＃カルマ消費月間

Re:それじゃあ、

[virtual (15806)]

円周率って1000桁以前に9が連続する部分があったので大丈夫かなと調べてみましたが誕生日桁から4桁で9999になる誕生日はありませんでした。それと誕生日から生成された4桁数字と誕生日が一致するものもありませんでした。とりあえず変換テーブルとしては使えるかも。

ルート２は誰かお願い。