パスワードを忘れた？ アカウント作成
Close
11640 story

みずほダイレクト、ログインパスワードを最大32桁に 78

ストーリー by kazekiri
長けりゃいいとは 部門より

KAMUI曰く、"みずほ銀行のネットバンキング・みずほダイレクトがセキュリティ対策の一環としてログインパスワード桁数の拡大などを行う事を発表した(参考：みずほダイレクトのセキュリティ対策)。1月22日以降，現在は英数6桁のパスワードを最大32桁までネット上で登録出来る様になる。また，旧第一勧業銀行・旧日本興業銀行の店舗顧客が使用している4桁パスワードについては 6〜32桁に(事実上強制的に)変更となる。
更に、従来は店頭か電話でしか受け付けていなかった「登録振込先以外への 1日あたりの振込限度額の引き下げ」もネット上で出来る様になる。「限度額の引き上げ」は店頭・もしくは郵送のみで変更はない。"

あるAnonymous Coward曰く、 "この最大長32桁のパスワードはどこまで有効なのだろうか？ 長くなることでキーの入力操作を見て覚えるのは難しくなるかもしれないが、 キーロガーに対してはまったく無力である。また、 パスワードは英数を交えての乱数字が理想とされるが、自分は 32文字の乱数字を記憶する自信は無い。パスワードに短文を用いたり、 紙に書き留めたりする事でセキュリティが低下するおそれは無いだろうか？ ここに集う皆様の意見を聞きたい。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

みずほダイレクト、ログインパスワードを最大32桁に More

  • いいわけ (スコア:5, すばらしい洞察)

    by Anonymous Coward on 2006年01月18日 15時38分 (#866207)
    　あたりまえだが、固定パスワードの最大長を拡張したからといって、誰もが長くするわけではない。最低長も長くしなくては意味がない（ついでに複雑さの要件も追加）。

    　こういうのは、いざ不正利用が発生した際に「当社はパスワードを長く複雑なものにできるようにしておいたのに、利用者はそうしなかった」という言い訳の準備でしかない。

    • Re:いいわけ (スコア:3, すばらしい洞察)

      by SANITY (27416) on 2006年01月18日 15時53分 (#866219) 日記
      >ついでに複雑さの要件も追加

      そうですね、数字のみは×くらいはしておかないと
      自分の生年月日を延々とor自分の生年月日＋家族の生年月日を
      パスワードに指定する人が多く出そうな予感…。

      かといって英語のみならOKかとなると
      単語の羅列などで、また考えねばいけませんし。
      まぁ、単語1つじゃないならいいのかな。

      しかし、入力が大変そうですね。
      何がって、あの画面にローマ字を表示させるのが。
      数字のパネルと同じ大きさになると考えると
      画面切替しないと入らないような…

      //英数字までランダム配置になったら入力がとてもダルそうだ
      シェア
      親コメント

      • Re:いいわけ (スコア:4, 参考になる)

        by blackdrug (13208) on 2006年01月18日 16時57分 (#866269) 日記
        こういうのはどうでしょうか
        56wz [vector.co.jp]

        ためしに「オレハジャイアンガキダイショウ」と入れたら
        o08j1angkd14uとなりました
        シェア
        親コメント

      • Re:いいわけ (スコア:1, すばらしい洞察)

        by Anonymous Coward on 2006年01月18日 16時27分 (#866247)
        >しかし、入力が大変そうですね。
        >何がって、あの画面にローマ字を表示させるのが。

        ？
        ネットバンクの話なんですが、そんなに解像度の悪いPCをお使いですか？

        ＞//英数字までランダム配置になったら入力がとてもダルそうだ

        いったいどんなキーボードを(ry
        シェア
        親コメント

    • Re:いいわけ (スコア:2, すばらしい洞察)

      by rykmsb (19545) on 2006年01月18日 19時33分 (#866418)
      そうですか？
      ログイン画面を見たことがないのでわかりませんが、
      ユーザーが実際使用するパスワードが仮に6桁だろうが10桁だろうが、
      「最大32桁で、ユーザーが何桁使ってるのか不明」というのは
      「最大8桁で、ユーザーが何桁使ってるのか不明」、とは
      まったく異なるものと思いますよ。
      シェア
      親コメント

    • Re:いいわけ (スコア:1)

      by chanbaba (13080) on 2006年01月18日 17時43分 (#866314) ホームページ
      >あたりまえだが、固定パスワードの最大長を拡張したからといって、誰もが長くするわけではない。最低長も長くしなくては意味がない（ついでに複雑さの要件も追加）。

      「意味がない」「言い訳の準備」と言う発想は微妙な気がする。
      逆に、長くするとメモとして書きとめ、結果、「安全度が低下する」と言う考えもある。
      利用者は沢山いて、使い方は線差万別。
      6文字だから暗記して使う。不正アクセス後は一定時間ログイン禁止（ロックし本人も締め出し）。
      32文字でメモる。不正アクセスしてきたIPアドレスに対してだけ一定時間ログイン禁止。本人はロックされずアクセス可能。
      と別けて処理することも出来るのでは？
      シェア
      親コメント

  • パスワードを書き留めよう (スコア:3, 興味深い)

    by Anonymous Coward on 2006年01月18日 15時40分 (#866208)
    http://itpro.nikkeibp.co.jp/free/ITPro/Security/20050722/165135/

    • Re:パスワードを書き留めよう (スコア:3, 興味深い)

      by Anonymous Coward on 2006年01月18日 15時53分 (#866221)
      ランダムで長く複雑なパスワードにして、それを 自分なりの流儀（3文字おきに読むとか、反時計回りに読む） で、紙に書いておけということですね。
      シェア
      親コメント
  • 　桁数を増やしたところで
    英数6桁のログインパスワードも引き続きご利用いただけます。
    では何の意味もないかと思います
    　仮に長い桁数の利用を強制できたとしても、そのパスワード自体が漏洩しては意味がありません。複雑で長く「強い」パスワードは、同時に覚えにくいため紙などに書き留められる危険性も高いのが実情です。あるいは、覚えやすいもの（名前をローマ字にして誕生日くっつけたりとか）になるなど……それでセキュリティが向上したとは言いがたいものがあるように思えます
    #英数６桁は論外だとしても
    　こちらのコメント [srad.jp]にあるとおり、ワンタイムパスワードにする、あるいは成りすましが難しい手段で本人確認を行うなどオプションを用意して、「面倒という人には容易（だけどセキュリティ的には危険）な方法」「セキュアだけど面倒な方法」など用意して、あとは利用者に委ねるしかないように思えます
    #仮にワンタイムパスワードにしたところで、口座情報とトークンを一緒に、誰でも盗めるような場所に置かれたらやっぱり意味が無いし
    --
    Foot to the Home
    変なもの部 [slashdot.jp]
    • ワンタイムパスワードを使うにしても、固定パスワードは併用する必要がありますし。

      それに6桁から32桁のパスワードというのは正に
      >「面倒という人には容易（だけどセキュリティ的には危険）な方法」「セキュアだけど面倒な方法」など用意して、あとは利用者に委ねる
      なのではないでしょうか。
      シェア
      親コメント
      • それに6桁から32桁のパスワードというのは正に >「面倒という人には容易（だけどセキュリティ的には危険）な方法」「セキュアだけど面倒な方法」など用意して、あとは利用者に委ねる なのではないでしょうか。
        　いえ。私は固定パスワード認証という手段「のみ」提供されているという点で、利用者に選択の余地が乏しいと考えます
        　桁を長くしたところで、盗聴、キーロガーの脅威に対する強度は変わりません。現実に問題になっている脅威が上述二項である以上、桁を長くすることが解決策にならない所以です。
        --
        Foot to the Home
        変なもの部 [slashdot.jp]
        シェア
        親コメント

  • 私のパスワード生成ルールツリー (スコア:3, 参考になる)

    by syun1rou (9886) on 2006年01月18日 16時07分 (#866230) 日記
    使用頻度が高いパスワードの場合、好きな歌の歌詞を基にして
    • 文節1文字目の[子音|母音]を抜き出して並べる。
    • 可能なら数字に置き換える(例えば「く」なら「9」)。
    • 適当な場所(例えば歌の小節の先頭とか)は大文字にする。
    で、実際にキーボードで打ってみて左右の手への分散度とか
    シフトの押し方とかタイプのタイミングとか考慮して調整する。

    使用頻度が低い(しっかり憶える必要がない)場合は、
    適当なバイナリファイルをbase64エンコードして
    その結果から適当な部分を抜き出す。
    # この場合使用文字種が少なくなるのでお好みで記号を混ぜてみるとか。

    で、生成したパスワードはテキストファイルに書き込んでgpgで暗号化して保存。

    • Re:私のパスワード生成ルールツリー (スコア:2, おもしろおかしい)

      by R.net (29231) on 2006年01月18日 16時19分 (#866238)
      その時自分の中で流行っていたものをパスワードにして、
      しばらくしたあと全く思い出せなくなるRさんがブリリアントに光☆臨！
      シェア
      親コメント

    • 私のパスワード保護ルールツリー (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2006年01月18日 17時01分 (#866276)
      • 誰にもヒミツの方法でパスワードを生成する。
      • 不特定多数の人が見る所で生成方法を開示するなど不用意な事をしない。
      • もし他人に生成方法を知られた可能性がある場合はルールを変更する。
      シェア
      親コメント
    • 歌詞はちょっと不安を感じるんで

      やっぱり食べたい吉野家の牛丼、狂牛病なんか怖くないぞ
      （どうでも良い台詞だが自分的に憶えやすい言葉）
      ↓
      YPTTYYNGDKGNKKNZ
      （適当に頭文字を抜き出す）
      ↓
      yPttYynGdkgNkkNz
      （大文字小文字に不規則に割り振る）
      ↓
      yPtt!YynG8dkgNkkN0z
      （数字と記号を適当に混入して完成）

      つーかんじはどうでしょうか？普段使いで思い出すためのメモは「吉野家狂牛丼」とかにする。一見憶えにくそうですが、最初のフレーズを頭の中で唱えながら20回くらい練習すると手が憶えてくれます。

      忘れた場合に備えて、生成したパスワードを格納したファイルは暗号化して保存するなり、財布にしまうなりはご随意に。

      ＃たまに会社で古いPCを引っ張り出してきてログインするときに
      ＃5～6世代前くらいのパスワードはすっかり手が忘れてしまっていて
      ＃苦労したりしますが(--;
      シェア
      親コメント
    • 格闘ゲームのコマンドをテンキー表記したもの。

      晶膝から偽連環転身脚
      66K+G-G66P+KPPK

      みたいな。

      使用キャラが変わると思い出せなくなります。
      --
      # SlashDot Light [takeash.net] やってます。
      シェア
      親コメント

  • そうだ、あの銀行にしよう (スコア:3, おもしろおかしい)

    by Anonymous Coward on 2006年01月18日 17時58分 (#866335)
    ＪＲＡ銀行に預ければいいんだよ。

    ＃暗証番号をよく間違えて引き下ろせないのでＡＣ

  • 短いパスワードを憶えるよりは (スコア:1, 興味深い)

    by Anonymous Coward on 2006年01月18日 15時37分 (#866205)
    紙に書いてでも長いパスワードの方がましだという話もありますね。

  • キーロガー対策 (スコア:1)

    by zumapon (9208) on 2006年01月18日 15時48分 (#866214)
    > キーロガーに対してはまったく無力である。

    じゃぁどうすりゃいいのって話ですが、
    １．JavaScript等でバーチャルキーボードみたく入力させる
    　→JavaScriptは・・・と責められる
    ２．キーボード以外の入力デバイス・・・マウスを使って絵を描かせたりしてログイン認証？
    　→認証が難しそう
    ３．指紋認証などのデバイスを配布して認証させる
    　→無償配布は難しそう
    辺りになるのでしょうか。
    何か良い方向性は無いものですかねぇ。

    ４．そもそも使わない

    って方向もありそうですが。
  • ブルートフォースアタックには有効ですよ。
    まぁ普通使わないですが。
  • jyugemujyugemugokounosurikirekaisyarisuigyono…

    あ、32文字こえちまったぃ。

    --

    ----------------------------------------
    You can't always get what you want...

  • 長いパスワード (スコア:1)

    by baka_gahaku (4542) on 2006年01月18日 20時44分 (#866489) 日記
    長いパスワードをいれられると、自分の名前とかいれちゃう奴がいるから、そういう風に作っちゃいけないよ。
    って、昔言われたことがあった。

    銀行で数字4桁の暗証番号を作る時、「0000」とか「自分の誕生日」とか「電話番号の下4ケタ」とか指定すると、作って貰えないと思うけど、
    たとえばこれで、自分の名前を入れたり、電話番号を入れたりしても、弾かれちゃうようにできてるのかな？
typodupeerror

弘法筆を選ばず、アレゲはキーボードを選ぶ -- アレゲ研究家