・パスワードを定期的に変更させるシステム仕様には問題がある (2016/05/01)
覚えやすいものにして、結果的に弱いパスワードになるのだとか。
納得できる説明だね。
---> 2016/05/30 追記
・定期的なパスワード変更は危険？
World Password Dayに英諜報機関が警告 (2016/05/25)
英国デジタル諜報機関GCHQ...の組織、CESG...
私たちの脳には限界があるので、数多くのログイン用の複雑なパスワードを一つひとつ記憶し、 それを定期的に変更することができない。それでも変更を強要されれば、結果として私たちは、 これまで使ってきたパスワードに少しだけ変化を加えた文字列を設定したり、 パスワードをどこかに書き留めてしまったり、ひとつの「新しいパスワード」を複数の認証で利用したりする。 あるいは、設定したばかりの新しいパスワードをユーザーが忘れることで、 システム担当者たちは頻繁にパスワードのリセットを行わなければならなくなる。 それらのすべてが攻撃者にとって都合のよい脆弱性となるので、「定期的に（頻繁に）パスワードを変更させることは逆効果だ」と彼らは主張している。 CESGは組織の管理者に対して、「アカウントの不正利用を検出する効果的な防御システムの実装」を 考慮してほしいとアドバイスしている。
No comments:
Post a Comment