定期的なパスワード変更は有効な施策なのか？

keijitakeda @keijitakeda

@ntsuji 使い回しをしなければパスワードリスト攻撃のリスクを完全にゼロにできるという点については違いがあると思います。一方パスワード強度は完全な乱数を使うことで桁数のパスワード仕様の最小確率まで持って行くことができます。一方定期変更が対象とする脅威は相手の状態に依存します。

keijitakeda @keijitakeda

そういう意味で定期変更が「運」に関して他と違う性質を持つという点については同意します。

keijitakeda @keijitakeda

@ntsuji で、別に定期的な変更を（するべきだと）主張しているわけではないのでないのでそこはご理解ください。

keijitakeda @keijitakeda

@ntsuji で「定期的な変更（一定期間ないの任意のタイミングを含む）に関してですが、そちらを実施する場合はどういう方法論」ですがよくある例で定期的な変更を利用者に呼びかける、時期が近づけばパスワードの変更を促すメッセージが表示されるといった感じでしょうか。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 使い回しをしていない状態でリスト型攻撃のリスクをゼロにはできないというのは漏洩元 = 攻撃先というものがあるからでしょうか。定期的な変更をするべきという主張ではなく、否定はできないという立場でしょうか？

keijitakeda @keijitakeda

@nut320 そうすると例えば強度が低下せずかつ記憶もしやすいパスワード設定方法（定期変更含む）の啓蒙ができればそれもありということになるでしょうか。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 質問の仕方が悪くてすいません。方法論はそれをユーザが実現するための方法論として考えるものはどういったものがあるかということが聞きたかったです。

keijitakeda @keijitakeda

@ntsuji 使い回しをしなければパスワードリスト攻撃のリスクを完全にゼロにできるという点については（定期変更と）違いがあると思います。という意味です。

keijitakeda @keijitakeda

@ntsuji 「定期的な変更をするべきという主張ではなく、否定はできないという立場でしょうか？」→ はいそのとおりです。

keijitakeda @keijitakeda

@ntsuji まぁ実際には「そろそろ変更」のメッセージが出たら変更するというのが一般的ではないかと思います。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda メッセージがでたら変更する。というアクションではないです。すいません。多くのサイトのパスワードを強固なものにして、使い回しをせず、定期的に変更するためにどのような管理をすることになるとお考えでしょうか。

keijitakeda @keijitakeda

@ntsuji 一番簡単なのはパスワードマネージャーでパスワード生成と再登録して管理する。あと紙に書いて記録する。一定のロジックで管理する例えば変更部分を暦年の数字とその年のいくつめのパスワードかとかを組み合わせる。とかでしょうか。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda やはりそうですか。どちらも定期的な変更を加えると管理が大変というかめっちゃ面倒そうですね。紙媒体を更新するほうが特に。管理ソフトを障壁と感じる方には手帳などへのメモをおすすめしているのですがそこまで手間かけさせられないかなと思っています。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 落とし所は「強固なパスワードの設定」「使い回しをしない」を実施。管理は記憶に頼らず何かしらの外部記録を行う。「定期的な変更」はそれらを実施するにあたり、かなりハードルを上げるので強制も推奨もせず、やりたい人だけやれば？程度ということになりますでしょうか。

keijitakeda @keijitakeda

@ntsuji パスワード定期変更は大変だからやめた方が良いという話は私もそのとおりだと思うのですが、定期変更を推奨（強制ではない）すべき（したい）と思う人が考えをあらためるべき適切な理由が知りたいと思っています。（皆が面倒だと思っている以外で。）

keijitakeda @keijitakeda

@ntsuji おっしゃるとおりだと思います。問題は推奨すべきという主張を否定するための材料なのですが、やはりメリットの割に利用者の負担が大きすぎるという感じでしょうか。

keijitakeda @keijitakeda

@nut320 そうですね。それらは十分にニーズはあると思います。たまにしか使わなくてセキュリティ要求の低いWebサービスなどは登録アドレスにメールでリンクを送ってクリックで認証とかで済ませられるかと思っています。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda かしこまりました。武田さんがパスワードの定期的変更に対してメリットよりも利用者の負担が大きなものであると考えてらっしゃることが分かってよかったです。遅くまでお付き合いいただきありがとうございました。

keijitakeda @keijitakeda

@ntsuji こちらこそありがとうございます。おかげさまで大分、頭の中が整理できました。（多大なご負担をおかけしてすみませんでした。）