「貧弱なパスワードは貧弱なウイルス対策ソフトよりも深刻な問題である」記事へのコメント

貧弱なパスワードを要求するシステム

[Anonymous Coward]

今日、pixiv にアカウントを作ったのですが、記号を含むパスワードを設定したところ、「パスワードには英数字しか使えません」と言われて驚きました。記号を 1 文字でも混ぜておくだけで、パスワードの強度は飛躍的に上がるのに。

パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。ウェブサービスを作成されている皆さんにちょっと考えてほしいと思った一件でした。

# これを以って pixiv を悪く言うつもりはないので AC

記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

> パスワードに記号を認めないのはどういった理由なのでしょうか。少なくとも、技術的に困難なことではありません。

わかってて書いているでしょうが、困難ではないですけど、
確実にコストアップにつながりますよね。

とりあえず、「&」「?」「"」「'」あたりはHTMLやSQLなどのために対処が必要でしょうね。
使用言語やライブラリなどによってコードのほうは記号未対応の場合と一緒でいいときもあるでしょうが、
テスト項目のほうにはきちんと盛り込まないといけませんね。
（パスワード強度を上げようとしてSQLインジェクションなどに陥っては意味がないですよね）

あと、「.」と「,」

Re:記号に対応する必要はないという話ではないですよ

[Anonymous Coward]

パスワードって、そのままDBに格納するんですかね？
それだと、いずれにしろ、セキュリティ的に問題があるような気がする。

一方向ハッシュ取って、BLOBか、あるいは、Base64かけたうえで、テキストとして保存するべきだと思うんですが。

Re:記号に対応する必要はないという話ではないですよ

[Tsann (15931)]

理想的にはそうですが、APOPのようなチャレンジ・レスポンス方式の場合、生パスワードが必要になりませんか？
この辺り詳しい人がいたらお願いしたいです。

Re:記号に対応する必要はないという話ではないですよ

[taka2 (14791)]

チャレンジ/レスポンス方式だからといって、生パスワードが必要とは限りません。プロトコルの設計次第です。
例えば、HTTPのDigest認証 [wikipedia.org]では、パスワードハッシュを、更にチャレンジレスポンスでハッシュ化してるので、生パスワードを保存する必要はありません。

もっとも、この場合「パスワードハッシュ」がAPOPとかでの生パスワード相当であり、それが漏れたら同サービスでのなりすましは出来てしまうわけですが、
影響が他に及ぶ心配がないというか「複数のサービスで同じパスワードを使い回している場合に、他のサービスに対しても攻撃が出来る」のを防ぐことにはなります。

Re:

[Anonymous Coward]

> 生パスワードが必要になりませんか？

なります。だから「生パスワードを保管しているからセキュリティ的に問題あり。だから生パスワードが必要なサービスはやめましょう。」なんて一概にいえるはずはないんですよ。

どういう仕組みでも設計するときにはトレードオフの考慮は必要ですよ、当たり前すぎますが。