セキュリティ研修で「w6!j38?pa7J」と「CanYouCelebrate?」ではどっちが強力なパスワードなのかという問題の答えが後者だった

しんやさん☯️定時退社 @hangstuck 弊社セキュリティ研修 問: 下記のどちらが強力なパスワードですか？ 1.「w6!j38?pa7J」 2.「CanYouCelebrate?」 正解: 1.は確かに複雑ですが覚えにくいです。2.は覚えやすく他人からの推測も困難です。2.を使う方が賢明です。 pic.twitter.com/b0ti95TjZ4 2023-03-14 12:15:06

[rurisizimi]

辞書攻撃？じゃーもーKyanYu-Serebureito?でいいじゃん。ローマ字読み最強！キリッ

[quitquiet]

「CanYouCelebrate?CanYouKissMeTonight?WeWillLoveLongLongTime-Wooo」が覚えやすくて最強

[mobile_neko]

十分な長さのパスフレーズが強力と言うのはあるけど一般的には文章として成立しない単語の組み合わせが推奨されてなかったか？特に曲名や歌詞、有名なセリフは非推奨のはず。

[dollarss]

まず長さありき。次に辞書にない単語。複雑さはそのあと。例えばだけど「bickrisuruhodoU-topia!」なんかはすごくいいパス。人に教えられない（恥ずかしくて）効果もある。

[n-styles]

仮に辞書攻撃したとして「CanYouCelebrate?」の正解に到達するまでに対策取れないシステムはそもそも利用すべきではない気がするよ。変ないちゃもんつけられないように、大文字の位置を変えれば完璧だった。

[youichirou]

こんなふうに肯定否定入り混じるくらいのことなら覚えやすい方でいい気はする。

[pechiyon]

いやだから、漢字かな英数字混じりの日本語文化圏文字列がパスワード運用としては強強だと思うんすよ。

[TakamoriTarou]

辞書攻撃の概念がない…。例えばzipのパスワードに2番をつかうと、数時間で破るツールがあるはず。で、一つ破ったらパスワード流用で芋づるに的な。フレーズつなぐ奴にしては短すぎるし固有名詞などを入れた方がよい

[xa_ax]

2の特定文字を数字か記号に置き換える、がいいかな。

[tattyu]

ブラウザに覚えさせる奴だと複数のデバイスで困るし、1passとかもPCだと（最近は減ってきたが）ブラウザ以外で入力する時困るんだよな。パスフレーズは強力だとは思うけど文字数で使えない環境も多い。

[kijtra]

目視のことは考えなくていいの？(電車とかカフェで仕事してるとか)

[miruto]

前者を使ってパスワードマネージャーで記録でいいのでは？

[gui1]

この記事がばずった瞬間、攻撃辞書に掲載されたとおもう(´・ω・｀)

[raebchen]

いくら覚えやすくったって、アカウントの数だけパスワード必要なんだから、ダブる可能性ある覚えやすい長い言葉より、長いランダム文字列自動生成してブラウザに覚えさせるほうがいい気がする😓

[a-kuma3]

文字数制限がないなら、好きな歌のワンフレーズとか小説の一節が鉄板。でも、文字数制限なしのUnicodeを受け付けてくれるところはほぼ無い。大文字小文字記号数字を混ぜろ、でも8文字までのような残念な方が多い

[sassy_watson]

覚えるようなパスワードをつけない方が。

[komo-z]

直感と違った！理由を考えると興味深いね

[yoshi-na]

覚えにくいってなんだよ、セキュリティ研修でパスワード覚えようとさすな→ “1.は確かに複雑ですが覚えにくいです”

[studymonster]

CanYouCelebrate?は文法として不完全なので逆にパスワードとしては強固という話ではなかった。

[eggplantte]

今はとりあえず覚えやすくて長いのがいいとゆう風潮だけど、攻撃にも流行り廃りがあるから、時代によって変わるよね。

[closer]

紙にメモするアホは2でもするだろ。

[kukky]

永遠ていうパスワードなんて知らなかったよね…

[nekosann_08]

sold outならランダム風なので強そうと思うなど。

[Dai3gen4Anko]

もう一捻りしてoと0を入れ替えるとか、単語の先頭以外を大文字にするとか

[kusomamma]

ログインIDに対してパスワードを総当たりするんじゃなくて、どこかのサイトから流出したパスワードにログインIDを総当たりで当ててくんだよ。だからそれぞれのIDへの攻撃は一回だからパスワードロックはかからない。

[rmntc55211]

「自分だけの物語、絶対に忘れない物語にするんだ」って誰かに聞いてからはokajimanoyatsuhaitsukakorosuzettainikoroasuにしてる

[kanetann]

質問が「下記のどちらが強力なパスワードですか？」で、1は１１文字で強度=強、解析時間4ヶ月、2は16文字で強度=強で解析時間5ヶ月だった、記号数字もいいけど文字数や覚えやすさ大事 https://bitwarden.com/ja-JP/password-strength/

[wdnsdy]

パスワードをpasuwaadoにしてる日本人はどれだけいるんだろうか

[natu3kan]

辞書攻撃されてもいいようにキーチェーンに電話番号とか指紋とかプラスアルファの二段階認証が王道か。

[asiamoth]

ワイのガラケー時代のメアドは『エヴァ』のサブ・タイトルから取ったのだが、一文字間違えてるおかげで迷惑メールは少なかった。なので、間違えて覚えた英単語を含めると良いのかも？

[ata00000]

調べてみたところNIST SP800-63で辞書の単語はパスワード登録時のNGワード(ブラックリスト)にすべき、みたいな話があった。 https://openid-foundation-japan.github.io/800-63-3-final/sp800-63b.ja.html の最後のページのA.3 複雑さ あたりとか。

[igni3]

2はさすがにまずいけど、覚えられないパスをパスワードマネージャ使わずに管理できるかと。

[circled]

Apple「パスワード使うなんて馬鹿げてる。パスキーを使え。」

[IGA-OS]

辞書攻撃を考慮すると、なんとも言い難い。パスワードレスはよ

[yosiro]

映画とか小説だと、「あの人は安室奈美恵が好きだからこれに違いない」って突発するシーンよくあるよね。

[fu_kak]

はやくパスワード無くそう？

[sophizm]

世界最強のパスワードは「kogaidan」に決まってる

[hiro_curry]

どっちも流出したら一緒よ。使いまわさないのが大事。

[gewaa]

パスワードを覚えようとするのが間違い。すべてのサービスで違うパスワードを使うって基本を守ると覚えきれるわけないのでパスワードマネージャーでランダム文字列をパスワードにするのが妥当。

[felick]

ユニークで長い文字列がいいからパスフレーズが有効とされている。記号も入れるとなおよし。パスワードの文字数上限が小さいシステムは滅びろ。(ハッシュ化して保存するはずなのに上限設けてる理由は何？)