武田圭史教授「最近見かけなくなった。結局無意味と言える人はいなくなったのかな。」#TKDKG #パスワード

keijitakeda @keijitakeda

@aro_take わかりやすく言うと「定期変更を意味があると考える事業者は自社サーバーと利用者の端末からパスワードが漏洩する可能性がある」と考えているのだろうということです。そして現実に定期変更が意味がないと確信を得るためには先に書いたような前提が必要になるだろうということです

あろＴＡＫＥ！(ときどき執事orメイド) @aro_take

@keijitakeda そこまで考えてますかね？なんだか啓蒙の為にとりあえず書いとけ的な感じは受けますが。自社から漏れるなら複合可能な形で保存しているということなのでそれは拙いでしょう。利用者から漏れるならそれは責任範疇外なのでお節介になるかと。そこに私は違和感を覚えます。

keijitakeda @keijitakeda

@aro_take はい。個別のケースにおいて違和感を覚えることも不満を感じることもあるでしょうし、それを否定することはできないと思います。

NPoi@アルテッツァのある生活 @NPoi

パスワードの定期変更、多数のアクセスが約束される共通アカウント等なら有効だと思う。たとえば、社内のWIFI接続するときのWPAキーとか。それ以外で特に効果は無いと思う。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

「意図的にユーザーのアカウント情報を盗んで売却する」ほど悪意のある管理者を想定するなら、「本来の管理者アカウント以外に管理者権限を持ったアカウントを作ってから退職する」可能性まで想定すべきでは？ ならば、ユーザーがいくら定期的にパスワード変更しても無駄。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

「悪意のある管理者」の悪事を「退職後」に限定する理由がわからない。 それ「パスワードの定期的変更が有効」な微小な条件を探してきただけちゃうん？

ぐれさん @grethlen

いつも思うけど「やらないよりかはやったほうがマシ」なこと全部やると本質的にやりたいこと以外に割く時間で人生終了する。どの程度「やったほうがマシ」をやることに注力するのかの閾値がですね。。。

いつきっく @1tsukik

すべてのパスワードを使い回ししないのが現実的ではないと言いつつ、定期的なパスワードの変更は現実的とする考え方がよくわからない。

ジロカ @jiroukaja

退職した人が競合他社に売るかもしれないから、利用者が負担を定期的に負うって、問題解決のレイヤーが違うのだが…

ジロカ @jiroukaja

別に退職してない人が故意ro悪意をもって流出させたら、パスワードの定期変更なんて意味ないじゃん。

ジロカ @jiroukaja

意味ないは言い過ぎか。ほぼ毎日変更すれば意味あるか。なんか、バカバカしくなってきた。

Shun (大★躍☭進) @ShunActU

武田先生が一貫してこの主張をしている 事は事実だし、さらに踏み込んで「私はパスワード定期変更は一般的に効率が悪い対策と考えこれを推奨する意図は持っていません。ただその効果について一律に否定する必要もないと考えています」とも言ってる。 twitter.com/keijitakeda/st…

keijitakeda @keijitakeda

@tsuyogochi 責任は管理者側にあるでしょうね。（私はこれまで一貫して「一律にパスワードの定期変更が意味がないとは言えない」という話をしていて、対策の責任が誰にあるとか、他の優先すべき対策がどうとかそいう話はしていません。その対策を一律に推奨しているわけでもありません。）

2015-06-07 20:37:44

Shun (大★躍☭進) @ShunActU

さすがにコレを「以前の主張から後退した！」といい募るのは、先生が発した何も耳に届いてないというのと変わらないであろな。

Shun (大★躍☭進) @ShunActU

武田先生は単に学者なので発言も学者倫理に則って「有効性は低いが無いとは断言できない」と言ってるだけに思える。（こういう言い回しを学者がするのは震災後良く聞いたはずだ） 対している人等はその断言しない姿勢に「結局何がいいたいのか明確にしろ」と苛立っている様に感じる。

Shun (大★躍☭進) @ShunActU

自身の意見と反しており、先生自身も定期変更などしてないといいつつ、「一定の価値は認める」などと庇うようなことを言ってしまう所が、ヌルヌルした論法だなどと評される由縁であろな。

Shun (大★躍☭進) @ShunActU

人を納得させるとか、安心させるとか、共感させるとかには、向かない話し方であろ。

Shun (大★躍☭進) @ShunActU

「健康への危険はありません」の枕に「直ちに」を置いてしまう「長期的な影響はよくわからん」という正直さと、心許なさ。

Shun (大★躍☭進) @ShunActU

喩えるなら疑似科学商法を「有効性は低いが無いとは断言できない」とつい言ってしまい、商法に都合良く切り取られる学者ポジションが武田先生で、撲滅しようとしている運動家が怒っている状況か。

Shun (大★躍☭進) @ShunActU

この場合「有効性はない」と断言する方が政治的に正しいのですけども、学者さんの中には政治的正しさを軽んじた発言をする方は居るでしょうね。 ソレがいいことか悪いことかは、正に政治の問題かな。

Shun (大★躍☭進) @ShunActU

アレだけ「いやPWの定期変更は無意味ではないですよ」と主張してから、「でも他にもっと有効な対策はありますけどね」と言われたならば、論を交わしている方は控えめに言ってブチ切れますよね。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

パスワードを定期的に頻繁に変更することにも顕微鏡的メリットはある。 それを認識した上で、そのメリットの小ささと、頻繁にパスワードを変更することの非金銭的コスト、さらにそのコストがユーザーの悪しき行動を助長するのが明らかだから「意味ない」と言われている、と理解している。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

武田教授は「パスワードの定期的変更のメリットはゼロではない（意訳）」と言っているが、それが1なのか10なのか100なのかは言わないわけです。 本人も限りなくゼロに近いことを理解しつつ「ゼロではない」と繰り返しているのでしょう。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

アカデミックな議論なら「ゼロではない」も結構ですが、実用的な対策としては、コストに見合う効果が得られるとは到底思えない「対策」を言ってもデメリットしかありません。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

某TKD教授のWikipediaエントリー、いかにも本人が書いているかのように見える。

平賀信一朗 @ Aberdeen, UK; anti-fascist @shiraga0516

Wikipediaがダメな理由はこれ。 ↓ ウィキペディアに掲載してよいかどうかの基準は「真実かどうか」ではなく「検証可能かどうか」（真偽よりも検証可能性） なのです。 活字になっていれば、どんなデマでもWikipediaに載せることができる。