「英国家サイバーセキュリティセンター、繰り返し使われているパスワード上位10万件のリストを公開」記事へのコメント

人間の能力の限界

[Anonymous Coward]

良いパスワードの条件（大文字小文字数字記号を混ぜる、長くする、頻繁に変更する、使い回さないetc.）を満たすような文字列の記憶など非現実的で、だからパスワード管理ツールを使うのだが、するとそのパスワード管理ツールがcrackの対象になって･･･

どーすりゃいいのさ

頻繁に変更しない

[Spinnaker (48489)]

大文字小文字数字記号を混ぜる、長くする、頻繁に変更する、使い回さないetc

すでに、「定期的な(頻繁な)パスワード変更はリスクを増大させる」ということになっていた筈です。
また、大文字と小文字を混ぜることを強制するのも、大文字だけ・小文字だけのパスワードを候補から外せるので危険らしいと。
確実な対応は、数字・記号・文字を混ぜることと、長くする、そして使いまわさないですね。
まあ、変更を強要するサイトはありますし、個人の能力を超えている点に違いはありませんが・・・　。

Re:頻繁に変更しない

[Anonymous Coward]

すでに、「定期的な(頻繁な)パスワード変更はリスクを増大させる」ということになっていた筈です。

この弁説ホントに理由付きで語らなきゃ何の意味も無いどころかヘタすりゃ害悪だと思うんだけど。
少なくとも重要な観点は「変更の強制」でしょ、なんで変更するだけでリスクが上がるんだよ。

Re:頻繁に変更しない

[Spinnaker (48489)]

確かに一理ある指摘です。
ここに来ているような人は、過去に強制してきた立場の人が多いのではないかと思いますので、今更なんでしょうが、理由つきにしましょう。
「実際にパスワードを破られアカウントが乗っ取られたり、サービス側から流出した事実がなければ、パスワードを変更する必要はありません。むしろ定期的な変更をすることで、パスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題となります。」(By 総務省)
ただ、人に説明する場合、「国のガイドラインがそう変わったんです。」という理由の方が楽ですが