パスワードの定期変更は無意味なのかについての議論（2015年11月）

keijitakeda @keijitakeda

@mutamac 散々人のことを馬鹿にしておいてその程度のことで腹をたてるのですか、、、。

ムタマック @mutamac

別に腹なんか立ててませんよ。煩わしいなと思っているだけでwww

keijitakeda @keijitakeda

@mutamac あれご自身が「蒟蒻問答」をされていたのでは？

keijitakeda @keijitakeda

@mutamac 散々人のことを馬鹿にしておいてその程度のことで煩わしいと思うのですか、、、。

ムタマック @mutamac

お気に障りましたかな？あのエントリが？量の概念がワカラナイというのは自分のことかと思われましたかな？

keijitakeda @keijitakeda

@mutamac であなたの主張する「メモをアカウントと紐付けるクラック」はここに書かれてましたか？論点ずらしでもなんでもないですよね。（そもそも論点ですらないですが。） ja.wikipedia.org/wiki/%E3%83%91…

keijitakeda @keijitakeda

@mutamac 結局「パスワードの定期変更は無意味」とする根拠については「その効果に甘んじるのは私の考え方ではない」ということなんでしょうか。であればそのように表現された方が良いかと思います。それは私も否定しません。

ムタマック @mutamac

最初からそう書いてるじゃありませんか。今さらなにをお前の言い分も少しは認めてやるみたいなこと言い始めてるの？

keijitakeda @keijitakeda

@mutamac 「その効果に甘んじるのは私の考え方ではない」と「その効果はない」の違いはわかりますか？

ムタマック @mutamac

「毎月パスワード変更するのは無意味だが毎分変更するなら意味はあるかもしれない。ただしそんな人的コストが効果に値するのか。その評価がないなら全く無意味」の意味はわかりますか？

keijitakeda @keijitakeda

@mutamac 私は時々他人の生のパスワードを目にすることがあるんですね。そういう時にパスワードはたまには変えておいて欲しいなーと思うんですよ。

ムタマック @mutamac

意味がわかりません。どういうお立場で見るのでしょうか？

keijitakeda @keijitakeda

@mutamac 文字としての意味はわかりますが内容には疑問点が多いです。まず「毎月パスワード変更するのは無意味だが毎分変更するなら意味はあるかもしれない。」の前提が成り立つかが疑問です。これをこれまでの反証を意識した上で説明できますか？

ムタマック @mutamac

循環してるだけ

keijitakeda @keijitakeda

@mutamac 他人のパスワードを見るという話でしょうか？セキュリティのインシデント対応、脆弱性検査、監査、事故、通報、調査などいろいろありますよ。

keijitakeda @keijitakeda

@mutamac パスワードの定期的な変更が推測リスク対策というところから頭が離れられないからではないでしょうか？（実際には漏洩リスク対策）

ムタマック @mutamac

ならばよくわかるはずでしょう。パスワードを手にしたやつが一ヶ月かけてゆっくり攻撃するとか、攻撃した証を必ず残すとか、その証がないからすぐに攻撃するやつなんかいないなんてことを前提にした議論は無意味ですよね？それまで否定なさる？

keijitakeda @keijitakeda

@mutamac ん？ある時点で私は当該アカウントのパスワードを持っているわけでそれがずっと変更されなければ私は一生不正があった時に疑われる可能性があるが、ある期間で変更されていればそれ以降は疑われなくて済みますよね。つまり不正が起こりうる期間が限定されるわけですが無意味ですか？

ムタマック @mutamac

そのインシデントがなぜ起きたかがそもそも問題なんじゃないんですかね？それ抜きでパスワード定期変更ばかり強調されるから、意味ないんじゃないの、変えてもまた漏れるよと言いたくなるのですが

keijitakeda @keijitakeda

@mutamac 意味ないんじゃないのと言いたくなる気持ちはわかります。だからと言って「意味がない」ことになるわけではありませんね。

ムタマック @mutamac

つまり5人しか泥棒を止められない防犯にも手間とコストは惜しまないとおっしゃるわけですね。ならばいうことはありません。お好きにどうぞ。

keijitakeda @keijitakeda

@mutamac 他の対策も同様ですよ。一つの対策で１００人（全て）の泥棒を止める対策はありませんよ。それぞれのリスクに対して複合的な対策が必要です。その評価はケースバイケースであり一律に否定できるものではありません。

ムタマック @mutamac

で？

keijitakeda @keijitakeda

@mutamac パスワードの定期変更は無意味という主張は根拠がなくその効果は一律に否定できないということです。

ムタマック @mutamac

大雑把