パスワードの定期変更は無意味なのかについての議論（2015年11月）

keijitakeda @keijitakeda

@mutamac 「どこにこの話を持って行きたいのか」パスワードの定期変更が無意味であると主張される客観的な根拠を知りたいと思っています。

ムタマック @mutamac

先生が引用したWikipedia にもパスワードクラックイコール総当たり攻撃とは書いていないですね。 こういう嘘の引用で論点ずらしをする奴を他にももう一人知っていますよ。最近qiitaから追放されて話題になっていましたがwwww

keijitakeda @keijitakeda

@mutamac 私がパスワードクラックは総当たりだと書きましたか？（総当たりを含むパスワード推定とは書きましたが。）

ムタマック @mutamac

そういう奴がいたからどうなの？じゃここにこういう奴がいるというのも立派な根拠だよね？論文の検証で小理屈並べてるんじゃなくて、こちらは実戦の話をしてるんだけど？

keijitakeda @keijitakeda

@mutamac 実戦の話として長期にわたって不正アクセスが継続する事例、長期間悪用されずに流通しているパスワードが存在するという話を根拠と共にしているのです。それに対してパスワードの定期変更が意味がないという根拠を示してください。

ムタマック @mutamac

95人の泥棒が根拠では？ RT @keijitakeda: パスワードの定期変更が意味がないという根拠を示してください。

keijitakeda @keijitakeda

@mutamac パスワードの定期変更を行えば９５人の攻撃で済むが、パスワードの定期変更を行わなければ１００人の攻撃を受ける。変更しないよりはした方が良いのでは？

keijitakeda @keijitakeda

@mutamac そもそも９５人や、５人という数字はどこから来たのという疑問はありますけど。

ムタマック @mutamac

違います。先生は5人の効果でも無意味ではないと言いました。だから5人の効果に甘んじるのは私の考え方ではないと説明しました。それだけです。RT @keijitakeda: @mutamac そもそも９５人や、５人という数字はどこから来たのという疑問はありますけど。

keijitakeda @keijitakeda

@mutamac それぞれのセキュリティ対策には想定される脅威が存在しますね。例えばどんなに複雑で長いパスワードをつけてもそのパスワードが漏洩してしまえばその対策は有効でなくなりますよね。ですので複合的に対策を考える必要があるのです。

keijitakeda @keijitakeda

@mutamac あなた自身が特定の脅威環境とそこでのリスクについてどう評価するかは自由です。脅威の環境や対策、また発生するリスクをどう評価するかはひとそれぞれ、また対象によって異なります。ですから一律に無意味だと決めつけ他者に押し付けるのは危険だと言っているのです。

keijitakeda @keijitakeda

@mutamac 以前より何度も書いていますが私はパスワード定期変更の話題について、広く推奨する必要はないと思っていますが、一律に否定すべきでもないとの考えを持っています。

keijitakeda @keijitakeda

@mutamac ここまでそちらからの全ての主張に対して反論してますよ。

ムタマック @mutamac

反論？論点ずらしの引用が反論？

keijitakeda @keijitakeda

@mutamac 何の論点がずれましたか？具体的に書いてみてください。

keijitakeda @keijitakeda

@mutamac 最初にそちらが書かれたのは「じゃ常にパスワードはクラックされるまでに一ヶ月以上かかるという論証をしてください。」でしたね。これはどういう意味で書かれたのですか？パスワードクラックは私は「パスワードの推定」と認識しましたが違いますか？

ムタマック @mutamac

すみません、何書いてもどうせ混ぜっ返されるだけなのでもう返信はしません。私も日常業務というものがありますので。先生も貴重な人生の時間を無駄にせず有意義な研究に注力ください。 RT @keijitakeda: @mutamac 何の論点がずれましたか？具体的に書いてみてください。

keijitakeda @keijitakeda

@mutamac 散々他人を馬鹿にしておいて自分の主張の論理の破綻を示されると返信しなくなるのですか。そういうのこそ蒟蒻問答なのではないですか？kotobank.jp/word/%E8%92%9F…

keijitakeda @keijitakeda

@mutamac あなたのパスワードの定期変更は無意味という主張が根拠と共に論破されていますよね。

ムタマック @mutamac

これは敬意を払った議論の仕方らしい。先生ダブスタだよ RT keijitakeda: まだパスワードの定期変更は無意味とか時代遅れのブログエントリーをしつこくツイートしている人がいるのか、、、。

ムタマック @mutamac

こんにゃく的には「また勝ってしまった」と言いたいんだろうなwwww毎日大勝利で結構でございます。

keijitakeda @keijitakeda

@mutamac で、「メモをアカウントと紐付けるクラック」というのはメモされたパスワードが盗まれて不正に利用されることを言いたいのだと思いますが、（セキュリティ分野ではパスワードクラックとは言いませんが）ろそれが常に一ヶ月かかることを示す必要はないですね。

keijitakeda @keijitakeda

@mutamac 「パスワードの定期変更が無意味である」という主張の反証は「パスワードの定期変更が無意味でない」例を１つでも挙げれば論理的に成立します。すでに私は楽天のケースと長崎大のケースを反証として示してますね。

keijitakeda @keijitakeda

@mutamac 「パスワードの定期変更が無意味だ」という主張をするためには「常に無意味」であることを論理的に説明しなければなりません。しかし「パスワードの定期変更が無意味ではない」という主張をするには「パスワードの定期変更が無意味ではない」ケースを一つ示せばよいのです。

keijitakeda @keijitakeda

@mutamac 論破してくださいよ。