・パスワードを定期的に変更させるシステム仕様には問題がある (2016/05/01)
覚えやすいものにして、結果的に弱いパスワードになるのだとか。
納得できる説明だね。
---> 2016/05/30 追記
・定期的なパスワード変更は危険？
World Password Dayに英諜報機関が警告 (2016/05/25)
英国デジタル諜報機関GCHQ...の組織、CESG...
私たちの脳には限界があるので、数多くのログイン用の複雑なパスワードを一つひとつ記憶し、それを定期的に変更することができない。 それでも変更を強要されれば、結果として私たちは、これまで使ってきたパスワードに少しだけ変化を加えた文字列を設 定したり、パスワードをどこかに書き留めてしまったり、ひとつの「 新しいパスワード」を複数の認証で利用したりする。あるいは、 設定したばかりの新しいパスワードをユーザーが忘れることで、システム担当者たちは頻繁にパスワードのリセットを行わなければ ならなくなる。それらのすべてが攻撃者にとって都合のよい脆弱性となるので、「定期的に（頻繁に）パスワードを変更させることは逆効果だ」 と彼らは主張している。 CESGは組織の管理者に対して、「 アカウントの不正利用を検出する効果的な防御システムの実装」を考慮してほしいとアドバイスしている。
No comments:
Post a Comment