今日も今日とて定期的変更 TKDKG先生のひよひよプレイを今日もご覧ください!

nut @nut320

@keijitakeda 良いアイデアだと思いますが、推奨したいわけではないという注釈が気になります。推奨したいと思わない理由が何かあるのでしょうか。また、先生が推奨したい方法って何かありますか？

keijitakeda @keijitakeda

@nut320 いえ基本的に自分として定期変更を奨励するつもりはないということです。ただその理由として定期変更を奨励すると必ずパスワード強度が低下するという説明に対する反証として例示したまでです。

keijitakeda @keijitakeda

ちなみに私自身は各種委員会や実務の会議でも定期変更は対策として含めないようにしましょうと常に最も主張している立場の人間です。（私以上に定期変更に反対するスタンスの人は見た事がありません。）

まゆこ(特殊つっこみ) @lamaille_mayuko

え？いままでの主張はなんだったの？

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda パスワードの定期的な変更は全く無意味ではありませんが、ほぼ運のような保護しかできないと思っています。その保護できるレベルに対してユーザへの負荷が大きすぎると思うんです。それを他の訴求内容と同列に扱うことはセキュリティ原理主義かなと思います。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 今、直面している問題は複雑なパスワード設定し、複数のサービスで使い回さないことを少しでも多くのユーザに実施してもらうようにすることだと思っています。そこで公的な機関からそれらの阻害要因になるものが推奨されることがボクの問題意識です。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda ボクたちセキュリティに携わる人間はバランスを考えユーザの負荷を減らしつつも、セキュリティレベルを少しでも上げる働きかけをする立場だと思っています。その立場の人間が運のようなものでこれ以上負荷をかけるようなことは避けた方がいいかと思っています。

keijitakeda @keijitakeda

@ntsuji 基本的に全て同意なのですが、パスワードの使い回し禁止も運に関係するのではないでしょうか。使い回していても運がよければ被害に遭わないわけですし、パスワードの複雑さについても同様ですね。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda 使い回していなければリスト型攻撃の被害に遭う余地はなくなります。対策することによって運に左右される部分を大きく排除できるものが対策と言えると思います。強固なパスワードも弱いパスワードよりも被害に遭う余地を減らす効果があると思います。

keijitakeda @keijitakeda

@ntsuji いろいろとありがとうございます。パスワードは変えた方がいいのか変えない方がいいのかというと、変えた方がいいという主張に私は一定の同意もできるんですよね。ずーっと同じパスワードを使うというのもどうかと。現時点それを完全否定できるだけの材料がないこともあり。

nut @nut320

@keijitakeda 武田先生と「パスワード強度が低下する」派で論点がずれているだけだと思いますよ。武田先生は「必ずパスワード強度が低下する訳ではない」と低下させずに済む例を挙げられてますが、低下する派は一般論として低下する人が多いよねと言ってるだけでは？

keijitakeda @keijitakeda

@nut320 そうなのですが一般論としてパスワードの定期変更を求めると強度が低下するという主張がどうもしっくりこないんですよね。末尾の数字だけ変えるから意味ないじゃんという話があげられるのですがそれでも実際のパスワード強度としては上がってることなど。

nut @nut320

@keijitakeda 末尾に数字を追加するとして、8桁+1桁よりも8桁-1桁+1桁になることも多いんじゃないですかね。桁数が増えること、定期変更することのコスト増を埋め合わせるために、元の桁は減る事も多いのでは？コストを減らしたい人はいても、増やしたい人なんて居ません。

keijitakeda @keijitakeda

@nut320 8桁-1桁+1桁　でも漏洩に対しては手動でちまちま攻撃される以外のケースではリスクは低減するのではないかと。

keijitakeda @keijitakeda

結論：定期変更はめんどくさいから皆嫌いなのです。で駄目かな。

nut @nut320

@keijitakeda どこが食い違ってるかと考えたのですが。ようは私は、人間は先生の考えるほど合理的ではない怠け者なので、結果として強度が低下する事が多いと思っています。使い回しの危険性や単純なパスワードの危険性を啓蒙しても、そうする人がいなくならないのと同じです。

keijitakeda @keijitakeda

@nut320 おっしゃるとおりです。で、私は弱いパスワードをつける人は定期変更があろうがなかろうが弱いパスワードをつけるのではないかと思っています。

nut @nut320

@keijitakeda 弱いパスワードを付ける人と強いパスワードを付ける人を白黒二分する話ではないのでは？場合によって変わる人がいるのではないですか？私のように、そんなに毎回変えさせられても管理できないからと弱い方に逃げた人間もいます。

keijitakeda @keijitakeda

@nut320 そうなんでしょうね。ただそこがどうも私自身にはしっくり来ないんですよね。どうして、変更無しの時のパスワード＋シリアルNoにしないのか。

keijitakeda @keijitakeda

@nut320 あとは弱いパスワードであっても定期変更されていれば漏洩リスクに対する耐性は上がるりますね。で問題はリバースブルートフォースされた時にそれがどのぐらいひっかかるアカウントが増えるのかなのですがそれが増えないなら別に弱くても構わないわけで、その見積もりができないのです

nut @nut320

@keijitakeda そこは先生がご自分を基準に判断するのがよくないのではと思います。さっき「合理的」と言いましたが、おそらくほとんどの人は、先生ほど合理的ではありません。もし現実に私のような人間が多いなら、そういう怠け者を前提に考慮する必要があるんじゃないでしょうか？

keijitakeda @keijitakeda

@nut320 そうすると例えば強度が低下せずかつ記憶もしやすいパスワード設定方法（定期変更含む）の啓蒙ができればそれもありということになるでしょうか。

nut @nut320

@keijitakeda 願望だけで言えば、そもそもパスワードなんて仕組み自体、不要に越したことはないと思います。SMS認証だけとか。二段階認証のパスワード側を排除して一段階にしただけになるうえ、携帯電話必須になりますから無理があるでしょうけれど。

keijitakeda @keijitakeda

@nut320 そうですね。それらは十分にニーズはあると思います。たまにしか使わなくてセキュリティ要求の低いWebサービスなどは登録アドレスにメールでリンクを送ってクリックで認証とかで済ませられるかと思っています。