武田先生にパスワードの定期変更について質問をいただきましたよ。

keijitakeda @keijitakeda

@ntsuji こちらになります。 twitter.com/keijitakeda/st… twitter.com/keijitakeda/st… twitter.com/keijitakeda/st… twitter.com/keijitakeda/st…

keijitakeda @keijitakeda

@ockeghem ご丁寧にご回答いただきありがとうございます。徳丸さんのお考えが良くわかりました。一方的に質問をしてしまい申し訳ございませんでした。今回質問させていただいた主旨としてはTwitterで見る限り徳丸さんと辻さんの書かれたものを読んで「パスワードの定期変更は...

2014-10-15 21:37:25

keijitakeda @keijitakeda

@ockeghem ...徳丸さんと辻さんの書かれたものを読んで「パスワードの定期変更は無意味」と認識された方が少なからずいらっしゃったようなので、果たしてそれが正しいのか（本意なのか）どうか確認したかったためです。またこの無意味か否かにこだわっているのは無意味であれば...

2014-10-15 21:40:02

keijitakeda @keijitakeda

@ockeghem ...また無意味か否かにこだわっているのは無意味であればその実現方法を検討する必要すらないわけですが、無意味でないケースがあるとするとその実現方法を検討する余地があると思ったからです。私自身は現在パスワードリストが市場で流通しパスワード漏洩から悪用まで...

2014-10-15 21:41:36

keijitakeda @keijitakeda

@ockeghem ...私自身は現在パスワードリストが市場で流通しパスワード漏洩からそれが攻撃者の手に渡り悪用されるまでに一定の期間を有する状況においては、それが労力に見合うかどうかは別として過去よりもパスワードの定期変更が意味を持つ場合が多いのではないかと考えているためです。

2014-10-15 21:43:17

keijitakeda @keijitakeda

@ntsuji 長々と申しわけありませんでした。

辻 伸弘 (nobuhiro tsuji) @ntsuji

@keijitakeda いえいえ。武田さんと徳丸さん、ボクとのやり取りをTogetterでまとめながらツイートしておりましたので大丈夫ですよ。ご質問ありがとうございました。

keijitakeda @keijitakeda

@ockeghem パスワードの定期変更について質問があるのですがよろしいでしょうか？

徳丸 浩 @ockeghem

@keijitakeda はい。なんでしょうか?

keijitakeda @keijitakeda

@ockeghem 今現在徳丸さんは一般論としてパスワードの定期変更は無意味だとお考えでしょうか、それとも無意味ではないとお考えでしょうか。

徳丸 浩 @ockeghem

@keijitakeda 一般論としては難しいですね。状況によっては意味がある場合もある（無意味とまでは言えない）、くらいではないかと

keijitakeda @keijitakeda

@ockeghem つまり徳丸さんは条件によってパスワードの定期変更は無意味な場合も無意味でない場合もあると考えられているという理解でよろしいでしょうか。

徳丸 浩 @ockeghem

@keijitakeda そうですね。「無意味」というのは、実質的な意味で言っておりますが。

keijitakeda @keijitakeda

@ockeghem これらの記事を読んだ人の反応として（徳丸さんが）「パスワードの定期変更は無意味」（だと言っている。）といったものがありますが、その認識は正しいとお考えでしょうか？→blog.tokumaru.org/2013/08/1.html blog.tokumaru.org/2013/08/2.html

徳丸 浩 @ockeghem

@keijitakeda 『以下の3条件を満たす場合、パスワードの定期的変更が意味がある可能性があります』と書いていますので、単に無意味とは言っていないつもりですが、その後の展開を読んで、徳丸は（実質）無意味と主張したいのだろうと深読みをした可能性はありますね

keijitakeda @keijitakeda

@ockeghem ありがとうございます。では「徳丸さんはパスワードの定期変更は（実質）無意味と主張したいのだろう」という認識を多くの方が持たれることは徳丸さんの考えに添うものでしょうか添わないものでしょうか。

徳丸 浩 @ockeghem

@keijitakeda それは「多くの」の度合いにもよるかと思います。現在は「パスワードは定期的に変更するべし」という意見が圧倒的多数ですので、その前提では、誤解する人が多少出ても取るにたらぬ人数かと思います。ですが、技術者としてできるだけ正確公平な表現が好ましいとも思います

keijitakeda @keijitakeda

@ockeghem なるほど。ありがとうございます。ということは「徳丸さんはパスワードの定期変更は（実質）無意味と主張したいのだろう」は「誤解」だと認識されているということでよろしいでしょうか？

徳丸 浩 @ockeghem

@keijitakeda 私の真意は、『パスワードの定期的変更は時に無意味とはいえないが、それは非常に残念なことである』ですので、「徳丸さんはパスワードの定期変更は（実質）無意味と主張したいのだろう」は少し外れていますが、大きな誤解とまでは言えず、ちょっと深読み程度かと思います

keijitakeda @keijitakeda

@ockeghem ありがとうございます。「パスワードの定期的変更は時に無意味とはいえないが、それは非常に残念なことである」とのことですがセキュリティ上意味がある（安全になる）のであればそれは残念ではないのではないでしょうか？

徳丸 浩 @ockeghem

@keijitakeda 他の有効な方法で「パスワードの定期的変更に頼らなくても安全が担保される」状態が望ましいと考えますので、「パスワードの定期的変更に意味がある」上記は私にとっては残念な状況です

keijitakeda @keijitakeda

@ockeghem ご丁寧にご回答いただきありがとうございます。徳丸さんのお考えが良くわかりました。一方的に質問をしてしまい申し訳ございませんでした。今回質問させていただいた主旨としてはTwitterで見る限り徳丸さんと辻さんの書かれたものを読んで「パスワードの定期変更は...

keijitakeda @keijitakeda

@ockeghem ...徳丸さんと辻さんの書かれたものを読んで「パスワードの定期変更は無意味」と認識された方が少なからずいらっしゃったようなので、果たしてそれが正しいのか（本意なのか）どうか確認したかったためです。またこの無意味か否かにこだわっているのは無意味であれば...

keijitakeda @keijitakeda

@ockeghem ...また無意味か否かにこだわっているのは無意味であればその実現方法を検討する必要すらないわけですが、無意味でないケースがあるとするとその実現方法を検討する余地があると思ったからです。私自身は現在パスワードリストが市場で流通しパスワード漏洩から悪用まで...

keijitakeda @keijitakeda

@ockeghem ...私自身は現在パスワードリストが市場で流通しパスワード漏洩からそれが攻撃者の手に渡り悪用されるまでに一定の期間を有する状況においては、それが労力に見合うかどうかは別として過去よりもパスワードの定期変更が意味を持つ場合が多いのではないかと考えているためです。

keijitakeda @keijitakeda

@ockeghem ...長々と大変失礼しました。

徳丸 浩 @ockeghem

@keijitakeda パスワードの定期的変更は既に権威が確立しているせいか、定期的変更を推進する立場から「定期的変更が有効な理由」が説明されないことが残念です。パスワードの定期的変更が有効なのであれば、それを推進したい方々から、有効性の説明があってしかるべきだと考えます。

keijitakeda @keijitakeda

@ockeghem おっしゃるとおりですね。私は定期変更を推進する立場というわけではありませんが、一方でパスワード強度、使い回しをしないその他対策についても十分説明はできていないと思います。このあたりをうまく説明できるよう整理したいと思います。