続パスワードの定期変更は神話なのか - ockeghem's blog

2008年2月にパスワードの定期変更は「神話」なのか? - ockeghem(徳丸浩)の日記を書いた時の反応は、賛否両論という感じだったが、その後、twitterでのつぶやきなどを見るに、「パスワードは定期変更しなくてもいいんじゃない?」という意見は、セキュリティの専門家にも多くなっているような印象を受けている。 そのよう状況の中、以下の記事を読んだ。 辞書攻撃がうまくいかない場合、クラッカーは総攻撃（ブルートフォース攻撃とも言います）を仕掛けます。【中略】仮に1秒間に1000万回の計算ができるとすれば、パスワードのクラックに要する時間は1年にもなりません。どんなに強固なパスワードであっても、1年ももたないということになります。だからこそ、3カ月に1回とか半年に1回はパスワードを変更する必要があるのです。（2ページ目より引用） http://www.itmedia.co.jp/enterp

[ockeghem]

日記書いた

[EasyGoer]

アカウントロックがいいよね。これ見るとロック時間は１分もあれば十分な気がする。

[KoshianX]

チャレンジする資格がIDという公開情報の文字列だけというのがおかしいんだよね。磁気カードでもあれば4桁数字のパスですら割と安全に運用できるわけで。

[pink_dark]

「（1）パスワードの文字種・桁数を増やすことにより、パスワードのパターン総数を増やす。（2）アカウントロックを実装してパスワード試行を妨害する」。

[fedelini]

パスワードの総当り　パスワード変更は　100%の確率を60～70%に減らす程度の効果しかない パスワードのパターン総数を増やす アカウントロックを実装してパスワード試行を妨害する

[isidai]

続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記:

[fubar_foo]

同じパスワードを使い回さないことの方がはるかに重要

[HeavyFeather]

ごもっとも。そもそも攻撃を施行できないような対策が必要。

[s_nagano]

アクティブユーザのみにする効果あると思う。

[deeeki]

定期的に変えるよりもパスワードを長くする

[janus_wel]

100% が 70% になるならやったほうがいいという結論じゃないのか

[tarchan]

パスワードの定期変更を強制されると、パスワードの忘れた人のPCのパスワードがリセットされてデフォルトパスワードのPCが増えていきます。経験的に。

[tyage]

ふむ。よく考えるとたしかに

[oguogu]

普通の人間のpasswordが他人に解ったからと言って、どれほどの影響があるんだろうかと思う時がある。クレカの借金設定は最低にしているしね。当然、預金残高も。

[naufd]

なーるほど。パスワードに有効期限をつけてもあまり意味はないと。。。

[ardarim]

『「全てのパスワードを試行できる」という前提がおかしい』なるほど。パスワードの定期変更が必要な特殊なケースとはつまり、ブルートフォースフレンドリーな駄目システムってことか。

[ether70]

続パスワードの定期変更は神話なのか - ockeghem(徳丸浩)の日記

[nunnnunn]

変更するなら破られた後に

[tetzl]

素人考えとしては、総当りについては解析速度が上がって試行回数が増えれば増えるほど定期変更の意味は薄れる気がするのでまあ納得なんだけど、リスクは総当りだけじゃないしねえ

[shioki]

"パスワードを3ヶ月毎に変更しても、68%の確率で破られるのだ。これで「安全になる」と言えるのだろうか"

[kujira_aoi_blue]

計算自分でできないけど、数字見せられると、わかんないけど超なっとくする。←て私みたいなおばはんには、神話でもなんでも、安全より安心買っちゃうけどね。

[REV]

職場で、ある場所の鍵が「長年使われてきて合鍵つくられまくりで不用心なんで交換しようぜ」みたいな話がでてた。

[yoshidako]

パスワードの総当たり攻撃を受けたとしての検証。さっきの記事の続き。大して安全性は向上しない。#yam

[dododod]

パスワード変更はしてないなぁ…それよりパスを使い回さないことが大切よね

[hiroomi]

その答えは二つ。パスワードの文字種・桁数を増やすことにより、パスワードのパターン総数を増やす。アカウントロックを実装してパスワード試行を妨害する

[nohzaki]

パスワード変更の神話

[looot]

1秒間に1000万回の認証を一日でも許すシステムが悪い。

[CelestialFire]

http://bit.ly/4ETguAのChanging and reusing passwordsの項でも、パスワードの定期的な変更を促すのは漏洩の可能性に備えてのことだとされている。総当たり攻撃対策だけを見て変更不要と主張するのは近視眼的にすぎるのではないか。

[Tetoran]

何らかの理由で漏れたパスワードが使い放題になるというリスクへの対応として定期変更は必要です。ログイン時間チェックなんかで回避できるかもですが:-)

[y0sh1kaw]

そりゃやっぱり神話でしょう。。。

[kenken610]

本筋とはそれるけど、やっぱ最大のセキュリティリスクは人間ですよ。