武田圭史教授「最近見かけなくなった。結局無意味と言える人はいなくなったのかな。」#TKDKG #パスワード

keijitakeda @keijitakeda

@tsuyogochi ある場面において定期変更という対策が意味を持つか持たないかという話と、その対策をとるべきかという話は別だと考えています。個別のケースにおいて様々な制約によりパスワードの定期変更という対策（の推奨）を含めなければならないという状況はあり得ると考えています。

強東風 @tsuyogochi

.@keijitakeda 現実的な面において、武田先生のおっしゃる意味がよくわかりません。「やらないよりはやったほうがマシ」という言葉を、何とか学術的に修飾したいということなのでしょうか？　パスワードは現実の話ですから、現実レベルで論じるべきと思うのですが。

keijitakeda @keijitakeda

@tsuyogochi パスワードの使い回しはなくならない、弱いパスワードの設定が許容されている。二段階認証は普及しておらず方式もまちまちであるという現実を考えると、パスワードの定期変更の推奨をやらないよりはやったほうがマシという場面は多いと思っています。

強東風 @tsuyogochi

.@keijitakeda パスワードの使い回しの否定と、パスワードの定期変更の推奨は同じ話なのですか？　私にはまったく違う話だと思うのですが。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

某武田氏は学者には珍しく（と信じたい）条件の切り分けができない人であるようだ。

keijitakeda @keijitakeda

@tsuyogochi パスワードの使い回しがなくなれば定期変更の必要性は少なくなるという話はよくされていることで、この話題に関わっている人でまったく関係のない話だと思っている人は少ないと思います。定期変更に意味はないと言われる方々が書かれた文章等を読まれると良いと思います。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

ほらね。＞某

強東風 @tsuyogochi

.@keijitakeda わかりました。現時点で必要な啓蒙は「パスワードの定期変更」よりも「パスワードの使い回しの否定」ですね。それについては私も異論はまったくございません。

強東風 @tsuyogochi

ここで打ち切るような人なんだな。なるほど納得。そりゃコンニャク問答と言われるわけだ。 twitter.com/tsuyogochi/sta…

強東風 @tsuyogochi

初めて武田圭史先生とリプを交わしてみたわけだが、パスワードの定期変更の有効性は全然分からなったし、こんにゃく問答と言われるのもちょっと分かった。簡単に言えば中身がない。それくらいなら、クソみたいな過激な言論でもいいから「啓蒙」するほうがまだ私は分かるぞ。

Mizney @Mizney_355

@tsuyogochi @2943_tsukuyomi 玄関の鍵と違い、パスワードというものは、総当り戦で時間さえかければいつかは突破されるから、突破に掛かる期間より早く新しい鍵に交換し続ける方法が無難・・・という雑な答でどうでしょう。

強東風 @tsuyogochi

…あれ？　こういう回答しか返ってこないのですが。武田先生の啓蒙活動、空振りしてないですか？　だいじょうぶ？

dara-j(最適化済み) @dara_j_

『ⓐtsuyogochi パスワードの使い回しはなくならない、弱いパスワードの設定が許容されている。二段階認証は普及しておらず方式もまちまちであるという現実...』 twitter.com/keijitakeda/st… pic.twitter.com/AvuXz3Qw7w

拡大

dara-j(最適化済み) @dara_j_

ユーザはパスワードを使いまわす自由や二段階認証を使わない自由があって然るべきだし、セキュリティ強度が低いサービスを提供している事業者の意志も尊重すべきだから、残された自衛手段として定期的変更を推奨したいし無意味いうな、という事か。 twitter.com/dara_j_/status…

jhiaxus @jhiaxus

最早修辞的な問題www.そもそもPW定期変更の推奨に対して「PWの定期変更なんて殆ど意味ねえんだから使いまわさない,複雑で長い文字列設定するを徹底せいよ」って言ってただけじゃなかったっけねえ? / “keijitakedaさんはT…” htn.to/FziPZWD

keijitakeda @keijitakeda

@ockeghem 徳丸さんはこちらをお読みいただけましたでしょうか？それ以外の理由も書いているのですが、、、。 → パスワードを定期的に変更することに意味はあるのか？ motivate.jp/archives/2015/…

徳丸 浩 @ockeghem

@keijitakeda そうでしたね。しかし昨年末に、こちらの話を強調されていたようでしたので

keijitakeda @keijitakeda

@ockeghem 他の記述含めこちらの内容についてお考えをお聞かせいただければ建設的な議論ができるのではないかと思っています。 → パスワードを定期的に変更することに意味はあるのか？ motivate.jp/archives/2015/…

徳丸 浩 @ockeghem

@keijitakeda そうですね。いずれそうするかもしれませんが、今は他のことをしておりますので…

keijitakeda @keijitakeda

@ockeghem はい。無理のない範囲で結構ですのでご検討ください。

keijitakeda @keijitakeda

@ockeghem 競合他社に販売するという話は多分していないような気がします。競合他社がパスワードもらってもよほど極悪でなければ使い道もないと思うので。（念のため）

keijitakeda @keijitakeda

@aro_take 「自社サーバーと利用者の端末からパスワードが漏洩する心配がない～と考える事業者は」については事業者が「考える」ですから特にその理由を限定するものではありません。二段階認証でこの場合の不正利用を防止できることは多くの場合において可能だと思います。

あろＴＡＫＥ！(ときどき執事orメイド) @aro_take

@keijitakeda すみません。昨日私、幾つか間違っていました。二段階認証ではなく定期変更ですね。さて二段階認証で防げると私も思います。気になったのは「他の手段によりその不正利用を防止できると考える事業者」ですが、大部分の事業者の主たる対策って定期変更なんですか？

keijitakeda @keijitakeda

@aro_take 脅威には様々な形態が考えられますから「主たる対策」のように限定された対策をとれば良いということにはならないと思います。いくらかの対策を組み合わせて使用するのが一般的かと思います。

あろＴＡＫＥ！(ときどき執事orメイド) @aro_take

@keijitakeda その意見は同意です。 「～と考える事業者はパスワードの定期変更に意味はないと考える可能性がある」は、どうも否定の否定なので解りにくいと思うのですね。 これは「定期変更必要と考えるのが普通」「事業者が守るべきでその手法が定期変更である」と読めてしまいます。