「英国家サイバーセキュリティセンター、繰り返し使われているパスワード上位10万件のリストを公開」記事へのコメント

人間の能力の限界

[Anonymous Coward]

良いパスワードの条件（大文字小文字数字記号を混ぜる、長くする、頻繁に変更する、使い回さないetc.）を満たすような文字列の記憶など非現実的で、だからパスワード管理ツールを使うのだが、するとそのパスワード管理ツールがcrackの対象になって･･･

どーすりゃいいのさ

頻繁に変更しない

[Spinnaker (48489)]

大文字小文字数字記号を混ぜる、長くする、頻繁に変更する、使い回さないetc

すでに、「定期的な(頻繁な)パスワード変更はリスクを増大させる」ということになっていた筈です。
また、大文字と小文字を混ぜることを強制するのも、大文字だけ・小文字だけのパスワードを候補から外せるので危険らしいと。
確実な対応は、数字・記号・文字を混ぜることと、長くする、そして使いまわさないですね。
まあ、変更を強要するサイトはありますし、個人の能力を超えている点に違いはありませんが・・・　。

Re:

[Anonymous Coward]

定期的なパスワード変更は一定の注意を要求するというマーケティングの一種として意味があるかもしれない。
セキュリティー上必要という言い訳は通りやすいしメール通知等なら強制的に訪問もさせられる。
というか電子書籍などのマーケットで無料商品を面倒にするのと同じで、実際はそういうのが主目的くらいに思ってたね。セキュリティー上ってのは言い訳で。
最近になって真面目に議論されて否定されたのがむしろ意外なくらいだった。

それから大文字小文字の強制が候補を外させるってのはあまり現実的とは思えない。
全部大文字小文字は2パターンしかない一方、混在は2^n-2の内どれかは分からないからね。

パスワード管理としては秘匿する使いまわし(できれば部分組み合わせ)の共通部分と、パスワード管理などに載せるランダム部分(と組み合わせパターン)を合わせるのが良いと思う。
クレジットカード登録したサイトでは他のサイトで使っていない文字列を加えるとかもして。
とは言ってもブラウザ標準のパスワードマネージャーは普通に使ってるけど。

Re:頻繁に変更しない

[Spinnaker (48489)]

定期的にパスワードを変更については、発案者が後悔しているくらいなので、変な意味づけをするのは可哀そうですよ。
NISTも総務省も推奨しなくなってリスク要因だとしているので、時間はかかるけれど消えていくのではないかな。

大文字小文字の強制が候補を外させる(危険)というのは、ちょっと言い過ぎでしたね。
ただ、利用者が大文字小文字を意識しているという前提であれば、サイト側で大文字小文字の混在を強制する行為は候補を僅かとは言え減らす側に傾くでしょう。(今の利用者にそんな意識はねーよと言われればその通り。)
最後に、クレジットカードを登録するサイトについては、登録をカードレスデビットにして、サイト毎に別の番号にし、適時停止や限度額変更をしてリスクを下げるという方法はありますね。よく使うが少額、めったに使わないが多額そしてちょっと怪しいくらいに区分するといいのかなと思っています。

まあ、２つに分けて面倒な管理をする(自分を信じる)くらいであれば、パスワード管理ツールと心中する(プロに任せる)方が楽なので、今は1Password様にかなりをお任せ。