パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

「大文字小文字が必須です」はパスワードを脆弱にする」記事へのコメント

  • by Anonymous Coward on 2018年12月07日 15時34分 (#3528890)

    もしユーザーに全部大文字や小文字にしたがる傾向があるとすれば、組み合わせ数が増えるメリットより、
    まず全部小文字・全部大文字で試行するブルートフォースアタックを受けたときの危険性増大というデメリットのほうがでかくなる。

    元記事にある、「(パスワードを文字にするという)制約で1文字から7文字の長さのパスワードがすべて無効とされるからです。
    それによって、パスワードを破るのに必要な時間がなんと2277秒、つまり38分弱も短くなります(3548分に対して)」というのも同じ。
    「8文字じゃなくてもいいです」って言った日にゃ、3文字や4文字のパスワードに設定したバカが出てくるのがオチ。

    「長いパスワードを使え」って結論はいいと思うけど、その前フリにしてもコレ必要な指摘か?って感じ。

    • by harako (114) on 2018年12月07日 21時30分 (#3529210)

      まったくもって同意。

      そもそも何も制限かけてなきゃ、楽なパスワードに逃げる人も増えるだろうから、英子文字のみのブルートフォースでも結構当たりを引けたりする。
      そうなると、26通り^8桁 = 2088億通りくらいをまずは試せばよくなる。

      でも、組み合わせを強制すると、最大パターン数からは多少目減りはするとしても、数千兆通りにまで増えるなら十分に効果はあるよね。

      親コメント
      • by Anonymous Coward

        でも弱いパスワードのユーザをブルートフォースで破れたら、強いパスワードを設定している他のユーザまでわざわざ破りには来ないでしょ?

        • by Anonymous Coward

          ん? 私は「文字種制限は入れた方がいい」って主張してるつもりなんですがねぇ。

          元記事の主張は、

          「大文字/小文字/数字/記号の 95種を使えば、本来95^8=6600兆通りの表現が使えるはずなのに、複数文字種を強制すると小文字だけのパターンとか大文字だけのパターンは排除されることになり、結果として総パターン数が減ってしまう」

          っていう事を主張しているわけですが、私の主張は

          「そもそも文字種制限かけてなかったら 2000億通り程度のアタックで見破られてしまうパスワードを許してしまう事になるのだから、たとえMaxの6600兆通りよりも目減りしてしまったとしても、文字種制限かけて数千兆通りのパターンを堅持した方が結果として安全だよね?」

          と主張してるつもりです。伝わりますかね?

    • by Anonymous Coward

      ブルートフォース・辞書攻撃できる時点で負け

    • プラス辞書チェックは必要かもですね

      パスフレーズ的には、辞書にある単語単品はNGだけど、ちょっと組み合せるのは強いのでアリという所かな


      弱い celebrate
      強い celebrate1231DOGBirthDay

      https://password.kaspersky.com/jp/ [kaspersky.com]
      で確認したら「よく使われる文字組み合わせがあります」は出るが

      このパスワードは、一般的な家庭用コンピューターを使って 次に示す期間のうちに解読されてしまいます

      弱 12秒
      強 6088世紀

      でした。

      --
      M-FalconSky (暑いか寒い)
      • by Anonymous Coward

        辞書ワードで12秒かかるのはおかしいのでは。。。

    • by Anonymous Coward

      元記事がどうもそういう仮定らしいが、パスワードが8文字限定でそれより長くても短くてもいけないってケースは特殊なんじゃないか?通常ブルートフォースをやるなら、文字数によっては全文字種は計算量的に不可能になるから、記号を落とすとか、全て小文字に仮定するとか制限をかけるものだし、たいていのクラッカーにはそれ用のオプションがあるぞ。全て小文字を許可すると、全て小文字にするユーザが必ず一定数いるという心理的な問題があるのを無視してないだろうか。

      • by Anonymous Coward

        >元記事がどうもそういう仮定らしいが、パスワードが8文字限定でそれより長くても
        2018年発の大NTTデータ様のユーザ向けプロダクトのパスワードは8文字以下限定だった。下限は知らない
        偉い人にはギリギリネジをまいといた(今までも何度もゆった)ので次回は更新されるかも。まあ5年後かな

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

処理中...