パスワード変更で現在のパスワードを入れる意味

Question

お世話になります。

一般的なサイトのパスワード変更って、
現在のパスワードと新しいパスワード、
そして確認用にもうひとつ新しいパスワード。
という入力が一般的で、自分もそれが常識だと思ってたんですが、
よくよく考えたら、現在のパスワードを入れるメリットって具体的にどんなことがあるんでしょうか。
ログインしてから変更する以上ブルートフォースとかの不正ログインへの対策にはならなそうですが。
ログイン済みのPCを勝手に使われた対策とか、
セッションハイジャック(フィクセーション)対策とかでしょうか。

よろしくお願いします。

ちなみにタグ付けて気になったけど「セキュリティ/セキュリティー」って伸ばし棒付ける派ですか？
僕は付けない派です。

Answer 1

仰るようにログイン済みPCを使われた場合や、セッションフィクセーション等の、パスワードはばれてないけど利用されている場合の対策だと思いますよ。
これらの様に、一時的に利用できるようにする手法において、パスワードが分からなくても恒久的に乗っ取る事が可能な手段が用意されているのは非常に良くありません。
主に管理的にですが。
リスクを考えたら、そこにパスワード認証を別途もう一段階かける方がコスト的に有利な場合が多いでしょう。
ただ、これだと結局パスワード変更ページ自体は触れてしまうので、最近のサービスではメールからのパスワード変更が多くなってきたように思います。

あと「セキュリティ/セキュリティー」は伸ばさない派です。
たぶんですが、伸ばさない記述はある種の業界用語的な使い方だと思います。
IT系でないお客さん向けの資料では伸ばすように気を付けますしね。

Comments

[kinme]

ご回答ありがとうございます

やっぱりその辺の意図でしたか、
最終的な確定をメールでやるサービスは多いですね。
ちゃんとセキュリティ対策したwebサイト作らないとCSRFとかも問題になりそうですね。

Answer 2

今どきのサービスやブラウザはログインIDとパスワードを保存する機能があります。
この機能でパスワードを保存していた時にPCを使われると、前回のログイン情報でログインはできてしまいます。

しかしながら、パスワードを解読されたわけではないので、パスワード変更画面の「現在のパスワード」は入力できないのでパスワード変更はできないことになります。

と私は理解していますが。

長音については、これにより最近は伸ばすことが多いです。

Comments

[kinme]

ご回答ありがとうございます

MSって明確にルール決めてたんですね。
メディアで伸ばし棒付きで使われてるならサービス上の文言は付ける方がよさそうですね。

Answer 3

パスワードの再入力には CSRF 対策の意味もあるようです。

他のページでも CSRF はトークンなどで行うと思いますが、さらに重要な操作ではパスワードの再入力を必要にすることでより堅牢にする試みもあるようです（パスワード設定画面に限れば既に他の方が回答されているような理由の方が強いかもしれませんが）。

Comments

[kinme]

ご回答ありがとうございます

確かにCSRF脆弱性あるwebサイトだとクリティカルな問題になりかねないですよね。

Answer 4

サーバー、ユーザー間の抜けた感じがするので伸ばさない派です。

Comments

[kinme]

僕も何か間の抜けた感じがして付けてないです(笑)