パスワードの定期的変更問題についての武田圭史の立場

keijitakeda @keijitakeda

パスワード定期変更についてはリスト型攻撃に対する対策として本質的ではないと考えますが、それによって現実にリスクが低減されるのであれば否定するまでもなく対策の選択肢としては受入可能というのが私のスタンスです。

keijitakeda @keijitakeda

パスワードの定期変更対策の効果を無視できない理由としてハッシュ化されたパスワードが漏洩する事故が分かっているだけでも複数発生していることがある。ハッシュ化されたパスワードのうち弱いものは一定期間で解読が可能で定期変更によってこれらのパスワードの悪用が防止できる可能性が高まる。

keijitakeda @keijitakeda

@ockeghem 私も定期変更が良い対策だとは思いませんが一定の効果もあるので否定できないように思っています。１回変更した後にそれが他のサイトのパスワードと異なることはどうすれば担保できるとお考えでしょうか。

keijitakeda @keijitakeda

このようなケースだとパスワードの定期変更も一定の効果があったりするんじゃないかなぁ。だからと言って強要する必要はないけど。 → ＩＤとパスワードが流出！　キミの楽天ポイントも知らずに盗まれる？ - 夕刊アメーバニュース yukan-news.ameba.jp/20131221-10/

keijitakeda @keijitakeda

つまりパスワードの定期変更には効果のあるケースもあると思うので一律に意味がないとか無駄とかいう意識があまり広がるのもよくないかなぁと思っています。

keijitakeda @keijitakeda

@ntsuji そうです。ですのでそのメリット、デメリットを示した上で選択肢の一つとして提示すればよいと思っています。無意味、無駄と排除する必要はないと思っています。（当初より定期変更を推奨することに反対していますが場合により一定の効果があり選択肢に含めても良いと考えています。）

keijitakeda @keijitakeda

@ntsuji 辻さんちょっと話が途中からになっているからいろんな経緯が飛んでしまっています。私は総務省として定期変更を推奨することには反対の立場です。ですが状況によっては効果があるケースがもありメリットでメリットを示した上で事業者が判断すれば良いというスタンスです。

keijitakeda @keijitakeda

@syugosya つまり「利用者が自分で管理できる範囲でパスワードを変更することを推奨」を想定していますので90日が大変であれば期間を長くすればよいのではないかということです。

keijitakeda @keijitakeda

パスワード定期変更によくある誤解。「どうせ末尾の桁をカウントアップしたりするだけだから無意味」→攻撃者が保有するパスワードリストのパスワードはそのままでは利用不可となる、推測にも一定の試行が必要となりリスク回避の可能性が高まる意味はある。

keijitakeda @keijitakeda

@methane @ockeghem パスワードの定期変更の効果がないとの見方について、「推測リスク」に対する防御効果が直感ほどはないという話が「漏えいリスク」発生時の被害抑止の話と混同されてしまっている気がするんですよね。

keijitakeda @keijitakeda

本質的にはパスワードを使い回してもよいのではないかと考えている。

keijitakeda @keijitakeda

これパスワードのハッシュ（または暗号化）データの漏洩状況を想定するならむしろ定期変更の効果がある場合の例になるんじゃないかな。

keijitakeda @keijitakeda

定期変更させても kZQNwdt1 → kZQNwdt2 → kZQNwdt3 みたいに末尾の数字を変えるだけというの。変更しないのと変更するのどちらが攻撃耐性が高いかを考えたら変えた方が良い。問題はそこでなくて手間に見合うだけの効果が期待できるのかということでは？

keijitakeda @keijitakeda

じゃあ定期変更が「手間に見合うだけの効果が期待できるか」は、どう判断するかと言うとそれはサービスの内容であったり、起こりうる悪用リスクの大きさだったり、利用者の環境や利用形態だったりするわけで、その裁量の幅を狭めるだけの根拠も理屈もまだ出てないと思うんですよね。

keijitakeda @keijitakeda

定期変更は負担が大きくて実際運用できないというのはそのとおりだと思います実際には強制ではなく自己判断で良いと思います。前述の判断基準でときどき変えた方が良いということは伝えて良いと思います。利用者の負担という意味ではサービス（サイト）毎に違うパスワードを使用するも同じことです。

keijitakeda @keijitakeda

@ntsuji その通りだと思いますが、何が現実的かはサービスや扱う情報の内容、ユーザーのタイプや利用形態によって変わることもあるかと思います。そこでなんらかのサービスが定期変更を奨励している場合においてそのことを客観的に否定できるのかというのが私の問題意識です。

keijitakeda @keijitakeda

「別のマシンを使うことになったとか、或るマシンを別の人に貸与することになったとか、そういう場合にユーザ名とパスワードをセットで新しく設定するというのは、「パスワードの定期的な変更」という話とは違う。」plus.google.com/11232685363111… について。

keijitakeda @keijitakeda

私はマシンを変えるときになるべくパスワードを総取っ替えするようにしている。古いマシンが何かに感染していた場合にそこで使ったことのあるパスワードは漏洩している可能性があるから。新しいクリーンな環境でリセットすることでリスクの分割化ができると思っています。

keijitakeda @keijitakeda

パスワードのハッシュ（または暗号化）データの漏洩状況の話は、漏洩したハッシュから一定期間後にはパスワードが特定される可能性があるため、想定としてその状況は定期変更した方がいい場合の例として使えるという話です。

keijitakeda @keijitakeda

まとめ：パスワードの定期変更を推奨すべきでない主張の理由は利用者の負担とそれによって得られるメリットの兼ね合いで多くの場合、負担の方が大きい。定期変更でパスワードが弱くなるは根拠希薄で理由としては使えない。定期変更はパスワードリスト流通に対して確率的に効果は生ずる。

keijitakeda @keijitakeda

効果に直結する可能性の低い作業を利用者に押し付けるという同義的問題があるということも言えるかな。

keijitakeda @keijitakeda

@vulcain 「定期変更」そこまで厳密に「定期」だと思う人多いんですかね。私は変更すべき最長の期間を示すものかと思っていました。変更を早すぎてもいけないとか思うのでしょうか。

keijitakeda @keijitakeda

自分でもパスワードの定期変更って意味ないじゃんとか言えればスッキリするんだけど、どう考えても変更のメリットが否定しきれないんですよね。

keijitakeda @keijitakeda

@kitagawa_takuji はい。私もそう思います。2013年9月に総務省に送ったコメントです。「（１）パスワードの定期変更についてについてですが、まず私はパスワードの定期変更がリスト型攻撃に対する「政府が推奨する正しい対策」のように受け止められることを懸念しています。」

keijitakeda @keijitakeda

@kitagawa_takuji 念のため補足しておきますが自身の発言に関する公開の許可は得ています。