パスワードの定期的変更問題についての徳丸先生の立場

徳丸 浩 @ockeghem

パスワードの定期的変更について私の立場を明確にしようと思います（以下連投します）

徳丸 浩 @ockeghem

私がパスワードの定期的変更問題について取り組み始めたきっかけは、パスワードの定期的変更が当たり前のように要求されているが、これに効果があるのだろうかという疑問からでした。定期的変更を要求する記事は数多くありますが、その理由を明確に説明している記事は見つかりません

徳丸 浩 @ockeghem

そこで、手探りで「パスワードの定期的変更の意味探し」を始めました。私はこの種のことをよくやります。ある人から別の話題で、徳丸がやっていることは『存在しない聖杯を追い求めている行為』と言われました。同じように、「パスワードの定期的変更の意味」は私にとって「聖杯」でした

徳丸 浩 @ockeghem

記事を書いてその反応を見たり、twitterでのやりとり、自身の思索の結果、「パスワードの定期的変更の効果」は見つかりました。しかし、それは、聖杯に例えるのははばかられるほどに、限定的効果でありました。しかし、限定的にせよ、効果の有無という点で言うと、効果はあることになります。

徳丸 浩 @ockeghem

ここまでは私は事実だと思っているのですが、ここからは私の意見、立場になります。

徳丸 浩 @ockeghem

まず、パスワードの定期的変更を呼びかけている方たちは、その意味を理解しておられるのかという疑問があります。定期的変更を呼びかけること自体は否定しませんが、意味を理解してやってほしいと願っています。

徳丸 浩 @ockeghem

次に、これが本題ですが、私の仕事はWebサイトを安全にすることであり、その立場からいうと、「パスワードの定期的変更にかなり意味がある状態」は好ましくないと考えています。より効果的な施策の採用により、Webサイトの安全性を高めることが望ましいと考えています。

徳丸 浩 @ockeghem

パスワードの定期的変更を依頼するサイトは多くありますが、その内訳は、(1)実際にはパスワードの定期的変更にほとんど効果はないのに、効果があると誤解して、あるいは保身のためにパスワードの定期的変更を呼びかけている、(2)実際にパスワードの定期的変更に意味がある状態で呼びかけている

徳丸 浩 @ockeghem

(2)の、パスワードの定期的変更に意味がある状態というのは、大切な秘密情報が継続的に集まるのにパスワードが漏洩するリスクがあり、その漏洩に気づく手段が利用者にはなく、パスワードの漏洩による実害を防ぐ保険的な手段もないサイトということになります。

徳丸 浩 @ockeghem

利用者がパスワードの漏洩（実際には悪用）に気づく手段や、漏洩後の保険的な保護手段は少しずつ普及していますが、まだ多くのサイトは実現していません。私はこれを残念に思っています。

徳丸 浩 @ockeghem

私は日経コンピュータ誌の連載で、「パスワードの定期的変更に頼ったら負け」というスローガンを提案しました。これは「パスワードの定期的変更」を目の敵にしているというよりは、それに頼らなければならない（そして定期的変更で十分な対策というわけでもない）残念なサイトを目の敵にしています。

徳丸 浩 @ockeghem

利用者側の立場にたつと、サイトを選択できるのであれば、パスワードの定期的変更に頼らなければならないサイトよりも、より効果的なセキュリティ施策を実施しているサイトを選択することをおすすめします。

徳丸 浩 @ockeghem

会社のイントラネットのパスワードは、パスワードの定期的変更に意味があるケースが多くなります。会社のポリシーには従うしかありませんが、全社員が定期的にパスワードを変更するコストとそれで得られる効果を検討して、可能であればパスワード以外の認証方式を会社側で検討するとよいでしょう。

徳丸 浩 @ockeghem

この話題については以上です

徳丸 浩 @ockeghem

先ほどの連投で、秘密情報が *継続的に* 蓄積される場合はパスワードの定期的変更に意味があり得ると書きましたが、それでは、最初に登録するだけの個人情報等はどうかというと、パスワードと一緒に漏洩している可能性が高いから定期的に変更しても、あまり意味はないというものです

徳丸 浩 @ockeghem

IDとパスワードだけが漏洩している可能性を考慮でき、住所等の漏洩・拡散をわずかな可能性でも避けたい場合は、定期的に変更する理由になりえるわけですが、そういう方は、引っ越し等の際に住所等と合わせてパスワードも変更する、すなわち定期的変更ではなくイベントドリブンで変更したらよいかと

徳丸 浩 @ockeghem

.@kazuho そこが難しいところですね。まずその種の呼びかけを否定するものではないと言っています。より安全な方法を推奨したいところですが、多くのサイトで実現されていない現状があります。

徳丸 浩 @ockeghem

.@kazuho 適切なパスワードが管理のできない人がすべてのサイト（あるいはそれに意味があるサイトを選択して）パスワードを変更するだろうかという疑問もあります。勢い、サイト側で強制変更という発想になりますが、二段階認証か定期的変更のいずれかを強制するというアイデアもあります

徳丸 浩 @ockeghem

.@kazuho すなわち、実現できそうもないことを呼びかけても仕方ないと思っていて、なんとか実現でき、有意に効果がある方法はどれだろうと模索している、という状態です。あぁ、それはサイト側の脆弱性対策も同じ状態ですね…

徳丸 浩 @ockeghem

例えばですが、一般的な呼びかけとしては、○○のようなサイトを使う場合は、パスワードの（フィッシングあるいはサイトから）漏洩に備えて、二段階認証を設定する（推奨）か、パスワードを定期的変更しましょう、ならありかな。しかし、そういう層を相手にするなら変更期間も示すべきではないかな

徳丸 浩 @ockeghem

陰謀論は好きではありませんが、大衆にパスワード定期的変更の理由を教えたら暴動が起きるので、その理由を隠しているのではないかという疑念を持ちそうになることはありますw まさかね、まさか…陰謀論にくみしないためにも、理由は明示しましょうよ

徳丸 浩 @ockeghem

フィッシング被害にあう可能性は、パスワード管理ができないような人ほどあると思うんだけど、フィッシングに引っかからないための基本をまずしっかり教えるべきですよね。あなたはフィッシングに引っかかりやすいからパスワードを定期的に変更しなさいというのもなんかなぁ