2014年10月19日

パスワードの定期的変更問題についての徳丸先生の立場

徳丸先生のパスワード定期的変更問題についての見解です。
75
徳丸 浩 @ockeghem

パスワードの定期的変更について私の立場を明確にしようと思います(以下連投します)

2014-10-19 10:13:11
徳丸 浩 @ockeghem

私がパスワードの定期的変更問題について取り組み始めたきっかけは、パスワードの定期的変更が当たり前のように要求されているが、これに効果があるのだろうかという疑問からでした。定期的変更を要求する記事は数多くありますが、その理由を明確に説明している記事は見つかりません

2014-10-19 10:13:25
徳丸 浩 @ockeghem

そこで、手探りで「パスワードの定期的変更の意味探し」を始めました。私はこの種のことをよくやります。ある人から別の話題で、徳丸がやっていることは『存在しない聖杯を追い求めている行為』と言われました。同じように、「パスワードの定期的変更の意味」は私にとって「聖杯」でした

2014-10-19 10:13:54
徳丸 浩 @ockeghem

記事を書いてその反応を見たり、twitterでのやりとり、自身の思索の結果、「パスワードの定期的変更の効果」は見つかりました。しかし、それは、聖杯に例えるのははばかられるほどに、限定的効果でありました。しかし、限定的にせよ、効果の有無という点で言うと、効果はあることになります。

2014-10-19 10:14:14
徳丸 浩 @ockeghem

ここまでは私は事実だと思っているのですが、ここからは私の意見、立場になります。

2014-10-19 10:14:24
徳丸 浩 @ockeghem

まず、パスワードの定期的変更を呼びかけている方たちは、その意味を理解しておられるのかという疑問があります。定期的変更を呼びかけること自体は否定しませんが、意味を理解してやってほしいと願っています。

2014-10-19 10:14:38
徳丸 浩 @ockeghem

次に、これが本題ですが、私の仕事はWebサイトを安全にすることであり、その立場からいうと、「パスワードの定期的変更にかなり意味がある状態」は好ましくないと考えています。より効果的な施策の採用により、Webサイトの安全性を高めることが望ましいと考えています。

2014-10-19 10:14:52
徳丸 浩 @ockeghem

パスワードの定期的変更を依頼するサイトは多くありますが、その内訳は、(1)実際にはパスワードの定期的変更にほとんど効果はないのに、効果があると誤解して、あるいは保身のためにパスワードの定期的変更を呼びかけている、(2)実際にパスワードの定期的変更に意味がある状態で呼びかけている

2014-10-19 10:15:26
徳丸 浩 @ockeghem

(2)の、パスワードの定期的変更に意味がある状態というのは、大切な秘密情報が継続的に集まるのにパスワードが漏洩するリスクがあり、その漏洩に気づく手段が利用者にはなく、パスワードの漏洩による実害を防ぐ保険的な手段もないサイトということになります。

2014-10-19 10:15:43
徳丸 浩 @ockeghem

利用者がパスワードの漏洩(実際には悪用)に気づく手段や、漏洩後の保険的な保護手段は少しずつ普及していますが、まだ多くのサイトは実現していません。私はこれを残念に思っています。

2014-10-19 10:16:11
徳丸 浩 @ockeghem

私は日経コンピュータ誌の連載で、「パスワードの定期的変更に頼ったら負け」というスローガンを提案しました。これは「パスワードの定期的変更」を目の敵にしているというよりは、それに頼らなければならない(そして定期的変更で十分な対策というわけでもない)残念なサイトを目の敵にしています。

2014-10-19 10:16:45
徳丸 浩 @ockeghem

利用者側の立場にたつと、サイトを選択できるのであれば、パスワードの定期的変更に頼らなければならないサイトよりも、より効果的なセキュリティ施策を実施しているサイトを選択することをおすすめします。

2014-10-19 10:16:56
徳丸 浩 @ockeghem

会社のイントラネットのパスワードは、パスワードの定期的変更に意味があるケースが多くなります。会社のポリシーには従うしかありませんが、全社員が定期的にパスワードを変更するコストとそれで得られる効果を検討して、可能であればパスワード以外の認証方式を会社側で検討するとよいでしょう。

2014-10-19 10:17:24
徳丸 浩 @ockeghem

この話題については以上です

2014-10-19 10:17:36

補足

徳丸 浩 @ockeghem

先ほどの連投で、秘密情報が *継続的に* 蓄積される場合はパスワードの定期的変更に意味があり得ると書きましたが、それでは、最初に登録するだけの個人情報等はどうかというと、パスワードと一緒に漏洩している可能性が高いから定期的に変更しても、あまり意味はないというものです

2014-10-19 11:24:12
徳丸 浩 @ockeghem

IDとパスワードだけが漏洩している可能性を考慮でき、住所等の漏洩・拡散をわずかな可能性でも避けたい場合は、定期的に変更する理由になりえるわけですが、そういう方は、引っ越し等の際に住所等と合わせてパスワードも変更する、すなわち定期的変更ではなくイベントドリブンで変更したらよいかと

2014-10-19 11:25:10
徳丸 浩 @ockeghem

.@kazuho そこが難しいところですね。まずその種の呼びかけを否定するものではないと言っています。より安全な方法を推奨したいところですが、多くのサイトで実現されていない現状があります。

2014-10-19 11:33:26
徳丸 浩 @ockeghem

.@kazuho 適切なパスワードが管理のできない人がすべてのサイト(あるいはそれに意味があるサイトを選択して)パスワードを変更するだろうかという疑問もあります。勢い、サイト側で強制変更という発想になりますが、二段階認証か定期的変更のいずれかを強制するというアイデアもあります

2014-10-19 11:35:00
徳丸 浩 @ockeghem

.@kazuho すなわち、実現できそうもないことを呼びかけても仕方ないと思っていて、なんとか実現でき、有意に効果がある方法はどれだろうと模索している、という状態です。あぁ、それはサイト側の脆弱性対策も同じ状態ですね…

2014-10-19 11:36:45
徳丸 浩 @ockeghem

例えばですが、一般的な呼びかけとしては、○○のようなサイトを使う場合は、パスワードの(フィッシングあるいはサイトから)漏洩に備えて、二段階認証を設定する(推奨)か、パスワードを定期的変更しましょう、ならありかな。しかし、そういう層を相手にするなら変更期間も示すべきではないかな

2014-10-19 11:45:47
徳丸 浩 @ockeghem

陰謀論は好きではありませんが、大衆にパスワード定期的変更の理由を教えたら暴動が起きるので、その理由を隠しているのではないかという疑念を持ちそうになることはありますw まさかね、まさか…陰謀論にくみしないためにも、理由は明示しましょうよ

2014-10-19 11:49:31
徳丸 浩 @ockeghem

フィッシング被害にあう可能性は、パスワード管理ができないような人ほどあると思うんだけど、フィッシングに引っかからないための基本をまずしっかり教えるべきですよね。あなたはフィッシングに引っかかりやすいからパスワードを定期的に変更しなさいというのもなんかなぁ

2014-10-19 11:54:59

コメント

Sの人 @siellc 2014年10月19日
パスワード変更を強要されると「pass201410」のような逆に特定されやすい単調なものになりがちなので自分のところは任せてますね
3
inatak @inatak 2014年10月19日
みんなは、きっと「パスワードの定期的変更ではなく、○○って方法を取れば良いんだよ」っていうのを聞きたいのだと思います。この話題、長いわりにそこに至ってないような。
7
星影 @unsoluble_sugar 2014年10月19日
補足説明を追加しました。
0
Tsuyoshi CHO @tsuyoshi_cho 2014年10月19日
inatak 運用側が強制時間制限とかやめてくれないかぎりは代替案を個人が聞いても解決しないから、という気もします...
0
大石陽@聖マルク @stmark_309 2014年10月19日
[c1645618] それって「定期」変更ではなく、「破られたのでパスワードを変更してください」あるいは「強制的に変更したので再度雲梯の作った仮パスワード(ランダムな文字列)でログインして別パスワードを設定しなおしてください」といった対処をするべきでは? 例えば一年ごとの定期変更で、変更した直後に破られたら、丸一年アクセスし放題の状態が続くわけで。
1
せうゆ @siobusoku 2014年10月19日
不正ログインされる原因は共通パスワードの放置で、どれだけ警告しても変更しない(気にしない)層が一定数存在する。その手のユーザーへの良い対策がなければ、定期変更はなくならないと思う。
2
大石陽@聖マルク @stmark_309 2014年10月20日
[c1645936] そんな不正アクセスに気づけない管理体制で重要な個人情報を扱ったらダメだろう。
1
inatak @inatak 2014年10月20日
他のまとめでも渦中の人である武田先生さんが周囲から冷笑されている(ように見える)のが、正直わからない。
0
taka @Vietnum 2014年10月20日
スマホやPCのカメラの前で、‹‹\(´ω` )/››イエイ とかのポーズがパスワードになればいいのに。とりあえず文字数チェックとか英数字チェックとか要らない。そんなのチェックするより日本語パスワードを使わせてちょうだい。また、簡単なパスワードにする人はSNSで個人情報をばらまく非常識な人と同じで、被害に遭わないと理解できないんだから注意書きだけ載せて放っておけばいい。もちろんその一文に、被害に遭っても一切補償しませんの文言も入れてね。
0
3mのちくわ(20禁) @tikuwa_zero 2014年10月21日
例えば「二段階認証を伴わない、任意の数字4文字のみのパスワード」とかなら定期変更する意味もあるだろうけど、そもそもそんな旧態然としたパスのみのネット環境が未だにあるのかどうかという。
0
大石陽@聖マルク @stmark_309 2014年10月21日
[c1646527] だから、運営側がやるべきはユーザーのパスワードを強制変更したり、同じパスワードを設定できない仕組みを作ることではなくて、パスワードの強度を高めたり、二段階認証を導入したり、別端末からのアクセスを通知するような対策だという話。パスワードの定期変更は労力の割に効果があるケースも少なく、効果も限定的すぎるのが問題ということ。
0
FX-702P @fx702p 2014年10月22日
パスワードにひらがなカタカナ漢字が使えるようになるだけでだいぶ防止策になる気はしている。
0
みながわ あおい @Minagawa_Aoi 2014年10月25日
今でもパスワードの字数制限や字種制限で複数のパスワードを「使い分けなければならない」ために、しばしばパスワードを忘れてリマインダーのお世話になってしまうのですが…
0