今日も今日とて定期的変更 TKDKG先生のひよひよプレイを今日もご覧ください!

keijitakeda @keijitakeda

@ntsuji で「定期的な変更（一定期間ないの任意のタイミングを含む）に関してですが、そちらを実施する場合はどういう方法論」ですがよくある例で定期的な変更を利用者に呼びかける、時期が近づけばパスワードの変更を促すメッセージが表示されるといった感じでしょうか。

nov matake @nov

だれかたけちゃんの話題定期変更しろよ

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 使い回しをしていない状態でリスト型攻撃のリスクをゼロにはできないというのは漏洩元 = 攻撃先というものがあるからでしょうか。定期的な変更をするべきという主張ではなく、否定はできないという立場でしょうか？

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 質問の仕方が悪くてすいません。方法論はそれをユーザが実現するための方法論として考えるものはどういったものがあるかということが聞きたかったです。

keijitakeda @keijitakeda

@ntsuji 使い回しをしなければパスワードリスト攻撃のリスクを完全にゼロにできるという点については（定期変更と）違いがあると思います。という意味です。

keijitakeda @keijitakeda

@ntsuji 「定期的な変更をするべきという主張ではなく、否定はできないという立場でしょうか？」→ はいそのとおりです。

yousukezan @yousukezan

人はそんなにパスワード生成に時間も手間も費やしたくないんだってことを共通認識として持ちたいところです

keijitakeda @keijitakeda

@ntsuji まぁ実際には「そろそろ変更」のメッセージが出たら変更するというのが一般的ではないかと思います。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda メッセージがでたら変更する。というアクションではないです。すいません。多くのサイトのパスワードを強固なものにして、使い回しをせず、定期的に変更するためにどのような管理をすることになるとお考えでしょうか。

keijitakeda @keijitakeda

@ntsuji 一番簡単なのはパスワードマネージャーでパスワード生成と再登録して管理する。あと紙に書いて記録する。一定のロジックで管理する例えば変更部分を暦年の数字とその年のいくつめのパスワードかとかを組み合わせる。とかでしょうか。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda やはりそうですか。どちらも定期的な変更を加えると管理が大変というかめっちゃ面倒そうですね。紙媒体を更新するほうが特に。管理ソフトを障壁と感じる方には手帳などへのメモをおすすめしているのですがそこまで手間かけさせられないかなと思っています。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 落とし所は「強固なパスワードの設定」「使い回しをしない」を実施。管理は記憶に頼らず何かしらの外部記録を行う。「定期的な変更」はそれらを実施するにあたり、かなりハードルを上げるので強制も推奨もせず、やりたい人だけやれば？程度ということになりますでしょうか。

keijitakeda @keijitakeda

@ntsuji パスワード定期変更は大変だからやめた方が良いという話は私もそのとおりだと思うのですが、定期変更を推奨（強制ではない）すべき（したい）と思う人が考えをあらためるべき適切な理由が知りたいと思っています。（皆が面倒だと思っている以外で。）

keijitakeda @keijitakeda

@ntsuji おっしゃるとおりだと思います。問題は推奨すべきという主張を否定するための材料なのですが、やはりメリットの割に利用者の負担が大きすぎるという感じでしょうか。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda かしこまりました。武田さんがパスワードの定期的変更に対してメリットよりも利用者の負担が大きなものであると考えてらっしゃることが分かってよかったです。遅くまでお付き合いいただきありがとうございました。

keijitakeda @keijitakeda

@ntsuji こちらこそありがとうございます。おかげさまで大分、頭の中が整理できました。（多大なご負担をおかけしてすみませんでした。）

nov matake @nov

なんやこのオチ #デジャヴ

Yasuo Nakanishi @nakanishiyasuo

どうも、例の先生はセキュリティ専門家なのか？ってレベルの発言が多いんだよなー。

dara-j(最適化済み) @dara_j_

問題とするベクトルがずれてるっつーか単に隙間狙ってるんちゃうかっつーか。tkdのtkdたる所以ではあるが。

MAEDA Katsuyuki @keikuma

今年も集中講義が始まる訳ですが、今年はパスワードの定期的な変更についてレポート書いてもらって、それ評価して成績付けるのが良いな。あんまり自由に書かせて評価のしようがないレポート書かれても困るので、論点を整理してあげると良いな。そうしよう。そうしよう。

MAEDA Katsuyuki @keikuma

「パスワードを変更することによって、盗用の危険性は低減するか」「低減するとした場合、低減する理由はなにか」「パスワードを定期的に変更することを強制した方が良いのはどういう状況か」「一般のWebサービスがパスワードの定期的な変更を強制することのpros/consを論じよ」こうだな。

shonantoka @shonantoka

今気づいたんだが、今朝の2つのツイート、すごいRTされてる笑。ちなみにIPAは仕様書の内容について、明日から定められた様式を用いて質問できるみたい。

shonantoka @shonantoka

辻さんのつぶやき、どれも勉強になる。その中でも特にパスワード絡みの内容は群を抜いている