パスワードリセットに関する佐名木氏と徳丸の会話

徳丸 浩 @ockeghem

@tomoki0sanaki えーっと、整理しますね

徳丸 浩 @ockeghem

@tomoki0sanaki 一瞬でもアカウント乗っ取りされることは、許容できないという意見と理解しました

徳丸 浩 @ockeghem

@tomoki0sanaki アカウント乗っ取りが一瞬でも許容できないとすると、(1)メールは盗聴の可能性があるので、メールによるパスワードリセットも許容できない、あるいは、(2)メールの盗聴のリスクは無視して差し支えないリスクであり、メールによるパスワードリセットも許容できる…

tomokisanaki @tomoki0sanaki

@ockeghem うーん。私にはついていけない、難しい概念です。「メール盗聴のリスク」=「パスワードを定期的に変更しなければならない状況」ではないんですか?

徳丸 浩 @ockeghem

@tomoki0sanaki 佐名木さんの意見は、(1)または(2)のどちらでしょうか? あるいは第3の意見でしょうか?

tomokisanaki @tomoki0sanaki

@ockeghem 「メール盗聴のリスク(前提)」=「パスワードを定期的に変更しなければならない状況」から、「パスワードを定期的に変更しなくてもすむようにリスクコントロールしましょう」と前提を否定する結論になっていませんか!?

tomokisanaki @tomoki0sanaki

@ockeghem うーん、(1) をとりたいですが、実際に「メールって盗聴されるのか!?」という疑問もあるし、それでは世の中回らないので、どちらかというと (2) でしょうか。

tomokisanaki @tomoki0sanaki

@ockeghem ここです。私の主張は「運が悪ければ乗っ取られるわけですが」ではなくて「メール盗聴のリスクを考えしまうと、URIでも新パスワードでも、どちらでもかなりの頻度で乗っ取られるです」。理由は、パスワードリセットを攻撃者のタイミングで実施できる、というのが前提です。

tomokisanaki @tomoki0sanaki

@ockeghem 「乗っ取られたで遅滞なく気づけるというのがコントロールです」は、利用者が最初のログインでパスワード変更(メールが飛ぶのが前提)してもよいということですね。まぁ、これは利用者側の対策であって、サイト側の対策ではないですか。

徳丸 浩 @ockeghem

@tomoki0sanaki 「メール盗聴のリスクを考えしまうと、URIでも新パスワードでも、どちらでもかなりの頻度で乗っ取られるです」<ここは同意ですよ。そのリスクがあるから、どうしようかという話です。これに対して3つの立場があり得ると考えます（続く）

徳丸 浩 @ockeghem

@tomoki0sanaki 3つの立場とは、(1)リスクがあるからパスワードリセットにメールは使わない、(2)リスクがあるのでリスクを軽減するコントロールを追加する、(3)実際にはメール盗聴なんかあり得ないので気にしない…佐名木さんはどの立場ですか? あるいは第4の立場ですか?

tomokisanaki @tomoki0sanaki

@ockeghem (4) です。「リスクがあるのでリスクを軽減するコントロールを追加してもいいけど、実際にそんなことできるのか!?」です。

tomokisanaki @tomoki0sanaki

@ockeghem パスワード・リセットの利用者に強度のあるパスワードを強制できる(利用者が自分の好きなものに変更するまでだけど)という利点も忘れないでください。

tomokisanaki @tomoki0sanaki

@ockeghem あー、なってしまいますね。それではダメですね。

徳丸 浩 @ockeghem

@tomoki0sanaki それは、仮にやりたければ、「安全なパスワードに変更する機能」として、HTTPS上のサービスとして実装すればよい話で、メールを介する必要はありません

tomokisanaki @tomoki0sanaki

@ockeghem ひっかかってしまいました。

tomokisanaki @tomoki0sanaki

@ockeghem どのタイミングで?

tomokisanaki @tomoki0sanaki

@ockeghem リスクに比べて、コントロールの有効性は評価すべきです。

徳丸 浩 @ockeghem

@tomoki0sanaki 認証後の話ですね。パスワードリセットとは分けて考えればよいということです

tomokisanaki @tomoki0sanaki

@ockeghem なるほど。・・・・しかし、そんなページは誰も使わないでしょうね。

徳丸 浩 @ockeghem

@tomoki0sanaki はい。誰も使わないと思います。LastPassや1Passwordのようなパスワード管理ツールと組み合わせないと、乱数のようなパスワードは管理が難しいので…なので、パスワード管理ツールを使うか、自分で工夫したパスワードをつけるということになります

tomokisanaki @tomoki0sanaki

@ockeghem この意味は、そもそも「メール盗聴のリスク」を前提にしているのに「(3)実際にはメール盗聴なんかあり得ないので気にしない」は選択しにかったですね。もし「(3)実際にはメール盗聴のリスクは低いので、コントロールしなくてもいいだろう」なら選択できたかも知れません。

tomokisanaki @tomoki0sanaki

@ockeghem まぁ、ディベートというか心理戦には慣れていない者ですから。

徳丸 浩 @ockeghem

@tomoki0sanaki 結局同じことですよね。メール盗聴のリスクは低いので受容する、ということですね。でも、そうなると、WebのHTTPSはもっと不要になる気もしますが、その点についてはいかがですか?

tomokisanaki @tomoki0sanaki

@ockeghem HTTPSの場合は、サーバの真正性確認に必要じゃないでしょうか?