アカウント名:
パスワード:
2番目のリンクで定期的変更が無意味な理由が3つ挙げられているが、どれもいまいちピンと来ない。
第一の理由は、ユーザが定期的なパスワード変更を確実に実施するとは限らないことである。まず、ユーザにパスワードの定期的変更を呼び掛けただけでは、パスワードを変更しない。パスワードに有効期間を設けて変更を強制するしくみを導入すれば、この問題は解決するが、パスワード忘れに対応するための問い合わせ窓口の開設や再発行のための安全なしくみの提供が必要になるだろう。
→Windowsを始め、たいていの最近のシステムには強制的にパスワードの有効期間を設ける仕組みが備わっているよね。そのような仕組みがない場合の話をされても、反論になっているとは思えない。むしろ、「サービスごとに別パスワードにする」ほうが、システム的な強制が困難じゃないの? それについてはコメントなし?
第二の理由は、ユーザが定期的にパスワードを変更したとしても、使ったことがあるパスワードを使い回したり、他のWebサイトと同じタイミングでパスワードを変更したりと、リスクが十分に軽減されないおそれである。どこかひとつの他のサービスのセキュリティ対策が不十分でIDとパスワードが漏えいしてしまえば、残りのサービスも不正ログインされてしまう。それならば定期的な変更を強制せず、自社のサービス専用のパスワードを設定させるほうが、他のサービスのセキ
これだよね。
「どんなパスワード運用にするのがより良いか」というのは有益な議論なのだが。その議論の結果をもって「理想的な運用以外は無意味」みたいな極論に走るのはセキュリティを理解してない馬鹿のすることなんだが、自覚がないらしいから始末に負えない。
# もちろん「逆にセキュリティ的に脆弱性を作る」プラクティスは避けるべきだが「やらないよりはマシ」なものまで否定するのはおかしいってことで
なんか、結論が断定的なわりに、論拠がフワッとしてるんだよねえ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds
定期的変更は無意味 (スコア:3, 興味深い)
例えば徳丸さんのところ [hatena.ne.jp]とか。
大谷さんは計算 [jnsa.org]もされています。
IDやパスワードを変える意義としては、
それらが漏えいし、なおかつサービス提供者がそれに気が付かないとか、黙っていたといった
リスクに対処するためくらいしか思いつかないのですが。
理由がピンと来ない (スコア:0)
2番目のリンクで定期的変更が無意味な理由が3つ挙げられているが、どれもいまいちピンと来ない。
第一の理由は、ユーザが定期的なパスワード変更を確実に実施するとは限らないことである。まず、ユーザにパスワードの定期的変更を呼び掛けただけでは、パスワードを変更しない。パスワードに有効期間を設けて変更を強制するしくみを導入すれば、この問題は解決するが、パスワード忘れに対応するための問い合わせ窓口の開設や再発行のための安全なしくみの提供が必要になるだろう。
→Windowsを始め、たいていの最近のシステムには強制的にパスワードの有効期間を設ける仕組みが備わっているよね。
そのような仕組みがない場合の話をされても、反論になっているとは思えない。
むしろ、「サービスごとに別パスワードにする」ほうが、システム的な強制が困難じゃないの? それについてはコメントなし?
第二の理由は、ユーザが定期的にパスワードを変更したとしても、使ったことがあるパスワードを使い回したり、他のWebサイトと同じタイミングでパスワードを変更したりと、リスクが十分に軽減されないおそれである。どこかひとつの他のサービスのセキュリティ対策が不十分でIDとパスワードが漏えいしてしまえば、残りのサービスも不正ログインされてしまう。それならば定期的な変更を強制せず、自社のサービス専用のパスワードを設定させるほうが、他のサービスのセキ
Re:理由がピンと来ない (スコア:0)
これだよね。
「どんなパスワード運用にするのがより良いか」というのは有益な議論なのだが。
その議論の結果をもって「理想的な運用以外は無意味」みたいな極論に走るのはセキュリティを理解してない馬鹿のすることなんだが、自覚がないらしいから始末に負えない。
# もちろん「逆にセキュリティ的に脆弱性を作る」プラクティスは避けるべきだが「やらないよりはマシ」なものまで否定するのはおかしいってことで
Re: (スコア:0)
なんか、結論が断定的なわりに、論拠がフワッとしてるんだよねえ。