【やじうまWatch】「パスワードの定期変更をユーザーに求めるべきではない」……NISTの文書でついに明示へ

[kkobayashi]

定期的に変わる8文字以上の不規則な英数字など人間が覚えられるわけない

[caesium]

とりあえずAppleIDの秘密の質問は早くなくなって欲しい

[wdr_s]

定期変更は、ほとんど意味がないどころか、定期的に変えることでむしろ覚えられないからパターン化、単純化してしまうという罠があるのよね。明示してくれて助かる。

[yooks]

パスワード変更しろっていうアラートと見ましたよってチェックは、不正ログインされたときに銀行が身を守るためだけの仕組みって側面大きいよね。

[Fushihara]

「パスワードは毎月変更する事。なお、規則的なパスワードを使うことは禁止する」これでよしっと！

[point2000]

パスワードという認証方法が人間にはつらすぎてな…/みんなで二段階認証付きのGoogle認証を使ったほうが幸せになれる気がしてきた

[yojik]

自分の場合、パスワードの定期変更をユーザーに求めるサービスや情シス部署に対しては、そういうレベルなんだなーと評価が下がるし、反抗心が芽生えて可能な限り言うことを聞きたくなくなる。

[yoiIT]

英大文字、英小文字、数字、記号を必ず組み合わせた8文字上とかで定期的に変更求められると辛い

[closer]

秘密の質問をランダム文字列にしたいのだが、ひらがなカタカナ漢字しかダメとかクソなやつもある。

[xlc]

以前の会社の情シスが定期変更を強要してウンザリしてた。面倒なので乱数で作って毎回忘れることにした。システムを使いたい時はパスワード忘れたと連絡すればOK。

[ikedas]

ちょっと古いニュースだけど、ようやくきたかー、という万感の思い。そろそろパスワード自体がナンセンス、という風潮が主流派になって欲しい。生体認証（指紋など）が搭載されたデバイスも増えてきたことだし。

[daimatz]

やっとか

[Vaduz]

素晴らしい

[panalog3]

普通はパスワード変更強制されたらPasssword1,Password2,Password1,Password2って回すだけだよね

[Roen-hi]

秘密の質問もダメなのか

[hush_in]

パスワード管理ツールで管理しないといけない時代終わって欲しい

[fake-jizo]

NIST（米国国立標準技術研究所）の傘下部門であるCSD（Computer Security Division）が発行する文書のひとつ、Special Publicationは、米国の政府機関がセキュリティ対策を実施する際の指針になる文書として、世界中で一目を置かれ Tags

[igaiga07]

「システムはパスワードの定期的な変更をユーザーに要求すべきではない」「秘密の質問も使用するべきではない」

[raitu]

「秘密の質問も使用するべきではない」

[decoy2004]

変更させるな

[ushigyu]

コンビニの酒・タバコ買うときにタッチする、「一応確認してますよ」という言い訳用のダイアログ感ある

[RRRQ]

ほんとこれ、早く広まって欲しい。

[tsukitaro]

だよね。Yahoo!Japanのパスワードは最初から×文字のまま。迷惑メールが原因でメールアドレス変えさせられるのもイヤなので一度も変えたことがない。

[shin0O]

せやな

[amino_acid9]

「併せて秘密の質問も使用するべきではないとしており」この考えが早く広まって欲しいけど、日本の場合はシステム管理以外の部署の意向で決まってそうなのでまだまだ鬱陶しいアラートが出続けそう

[kuronama2404]

“システムはパスワードの定期的な変更をユーザーに要求すべきではないというもの。併せて秘密の質問も使用するべきではないとしており”

[u1tnk]

ちゃんとしたところからこういう発表があるの良い事だな

[tym1101]

本人しか規則性がわからない、不規則な文字列の作り方の講座が増えれば良いんじゃないですかね。

[tomoyarn]

原文のほうで気になるのは、記号とかを入れることを非推奨としたところかな。そういう制約を入れることで、ユーザーむしろ簡単なパスワードを設定しがち、ということのようだけど、さすがにこれはないと思う。

[reachout]

ヤッター！！　これで毎回ログインする度に「変更しろよ、おう」って脅迫的なメッセージ見なくて済むようになるぞー！

[sawarabi0130]

"併せて秘密の質問も使用するべきではない" これも重要。逆にパスワードを知らなくても突破できるセキュリティーホールになっている。

[larker]

「パスワードを定期変更を要求されることが過去のものになる日は近そうだ」

[T-miura]

この文書はドラフトだが、早く正式化されてほしい。で、現状、プライバシーマークの中に、パスワード変更という項目があるようなので、それも直してほしい・・・

[tettekete37564]

とっくの昔に意味ないって結論になったような。十分な強度のパスワードの時アタックが成功する確率は同じ。有効なのは今現在アタックされていて近い未来に到達する時、すでに失敗したパスワードに変えるときだけ。

[pochi-p]

本来「Ｐマーク取るのにパスワードの定期的変更が要求される為、そんな頭悪い仕様はお客様の為にも受け入れらずＰマークはあえて取っていません」って会社が沢山出てくるべき…。

[nikkatsu]

果たして、パスワードの定期変更撲滅まで何年かかるか。あと、桁数の上限も外してほしい。今時、8文字以内はあり得ないでしょう

[vanbraam]

ついにNISTがやってくれた!IPAも早いとこ追従してくれ;PCI DSSとかプライバシー・マークもこのルールだったか

[kagakaoru]

すばらしい。

[richard_raw]

職場のはもう慣らされました。ネットバンキングは警告出てるけど放置。Googleは2段階認証にしようかなあ。

[k146]

もうどうせ意味無いと思ってたからパスワード期限がある所では「パスワードっぽい文章の末尾に数字を1ずつ足す」って運用しかしたこと無い。←同じ考えの人がゴマンといるってのが証明された。