「貧弱なパスワードは貧弱なウイルス対策ソフトよりも深刻な問題である」記事へのコメント

貧弱なパスワードを要求するシステム

[Anonymous Coward]

今日、pixiv にアカウントを作ったのですが、記号を含むパスワードを設定したところ、「パスワードには英数字しか使えません」と言われて驚きました。記号を 1 文字でも混ぜておくだけで、パスワードの強度は飛躍的に上がるのに。

パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。ウェブサービスを作成されている皆さんにちょっと考えてほしいと思った一件でした。

# これを以って pixiv を悪く言うつもりはないので AC

Re:貧弱なパスワードを要求するシステム

[Anonymous Coward]

XSSやSQLインジェクションのもとになるからとにかく入力に英数字以外のものを許してはならないというサニタイズ脳が、かえってシステムを危険にしてる実例ですね。

Re:貧弱なパスワードを要求するシステム

[greentea (17971)]

XSSやSQLインジェクションが起こると、自分たちの責任。
仮にパスワードが英数字のみしかできなくても、パスワードを破られるのはユーザの責任。

どっちを選ぶかは明白でしょう。

--
1を聞いて0を知れ!

Re:

[Anonymous Coward]

とりあえずパスワードはSQLインジェクションの実証コードにしておけば

- それなりに長い
- 記号もちゃんと入ってる
- 割と覚えやすい
- 利用しているサービスの脆弱性が検出できることもある

うん、よさそうだ。(ただしどこかに載ってるサンプルの流用はだめだぞ！)

# ただし危ないリクエストをはじく仕様の、Webサーバー用FWに差し止められる可能性があります。