なぜ、定期的に認証番号を変更するのか

Question

アメリカのNISTと呼ばれる組織によれば認証番号を定期的に変更を促す制度は良くないそうです。

ノースカロライナ大学チャペルヒル校の調査によると、定期的にパスワード変更を求められると、人々は多くの場合、まったく新しく作り直すのでなく、同じパターンで少しずつパスワードを変更する。どこかの1文字だけを順番に変えていくなどのパターンになりやすい。

FC2やら記憶が正しければgoogleなどでも認証番号を定期的に変更するよう促す頁を見ました。個人的にいうと心底面倒くさいので私はこれらの文言は、無視してきました。
開発者側は、利用者がその都度複雑で不法に接続し辛い(クラックし辛い)認証番号を設定してくれるはずだ、と思ったからそのような制度を開発したのでしょうか。それともほかに理由があったのでしょうか。

またチャペヒル校に一理あるのならこれは、破堤した制度だと思うのですが、皆さんならどのような制度を開発して、或いは採用して個人情報などの保安を維持しますか。

Answer 1

引用テキストノースカロライナ大学チャペルヒル校の調査によると、定期的にパスワード変更を求められると、人々は多くの場合、まったく新しく作り直すのでなく、同じパターンで少しずつパスワードを変更する。どこかの1文字だけを順番に変えていくなどのパターンになりやすい。

これに関しては、以前東邦大学の金岡先生が「パスワード研究の動向」という講演をされていて、そこで紹介されています。その際の講演資料が参考になると思います。

パスワード研究の動向

この講演を私も聴講しました（全体として素晴らしいものでした）が、確かに、パスワードの定期的変更を要求すると、引用されているような変更になりがちであるということを実験データを元に検証されていました。

FC2やら記憶が正しければgoogleなどでも認証番号を定期的に変更するよう促す頁を見ました。個人的にいうと心底面倒くさいので私はこれらの文言は、無視してきました。
開発者側は、利用者がその都度複雑で不法に接続し辛い(クラックし辛い)認証番号を設定してくれるはずだ、と思ったからそのような制度を開発したのでしょうか。それともほかに理由があったのでしょうか。

このあたり、「実はあまり考えていなかった」というのが正解ではないかと推測しています。もちろん、個別のケースについて説明があるわけではないので、あくまで推測です。
もっと言えば、パスワードの定期的変更を求める側は、セキュリティ意識の高い方たちですので、「利用者がその都度複雑で不法に接続し辛い(クラックし辛い)認証番号を設定してくれるはず」という暗黙の了解はあったでしょうが、実際の利用者の意識はそこまで高くなかった、ということになります。しかし、「利用者がその都度複雑で不法に接続し辛い(クラックし辛い)認証番号を設定してくれるはず」という強い信念まではなかったのではないかと思うのです。
また、パスワードの定期的変更を求めること自体はすでに定着した「ベストプラクティス」（とかつては思われていた）わけで、かつ、多くの標準類がこれを求めていました（求めています）。なので、「実はあまり考えていなかった」けれども、パスワードの定期的変更を求めることが行われてきたのではないかと思う次第です。

パスワードの定期的変更をする意義ですが、現実に明確にあるメリットはこうです。サイト管理者や利用者が気づかないうちにパスワードが漏洩していて、不正ログインされ続けるケースがあるとすれば、パスワードを定期的に変更することで、その不正ログインをいったん断ち切ることができます。再度パスワードが漏洩すれば、元のもくあみですが、すくなくとも過去のパスワードでは悪用できなくなるわけです。

また、一つのアカウントを複数人で共有するケースも現実にはよくあるケースです。この場合、そのうちの1人が退職・異動した後でそのパスワードを悪用する可能性があります。この場合、定期的に共用のパスワードを変更しておけば、退職者の悪用を運が良ければ避けられるし、運が悪くてもパスワードを悪用し続けられる状況は回避できます。
もっとも、そもそもアカウントの共有そのものがよくないわけですし、仮に共有しなければならないケースでも、担当者の退職・異動のタイミングでパスワードを変更すれば、退職・異動後の悪用は完全に（運に左右されずに）防げます。

このあたり、多くの現場では、「そこまで深く考えずにパスワードの定期的変更を求めてきた」のではないかというのが私の推測です。

Comments

[ockeghem]

「テキストノースカロライナ大学チャペルヒル校の調査」は引用したスライドのP58以降をご覧ください。

Answer 2

皆さんならどのような制度を開発して、或いは採用して個人情報などを保安を維持しますか。

1. ワンタイムパスワード

ワンタイムパスワードが安心です。盗まれたときや紛失したときにそれがはっきりわかることが重要です。パスワードや生体認証やパスフレーズの最大の問題点は盗まれたり、漏洩しても気が付かないことです。Google の回し者ではありませんが、スマホにGoogle認証システムを入れて、それに対応するシステムを使うのがベストだと思います。
私のGoogle認証システムには、 AWS, Gmail, GitHub のシードが入っています。

1. ログイン状態を保存

パスワードを入力すると、フィッシングで盗まれる可能性があります。ログイン状態を保存し、滅多なことではパスワードを入力しないくせを付けることが需要です。パスワード入力画面を見た途端に「あれ、この端末ではログイン状態を保存しているはずなのに何でだ？」と不審に思うようになるために出来る限りログイン状態を保存できるシステムを使います。

逆にだめだと思うものに生体認証とマトリックス認証があります。
生体認証はもともと秘密にしていない情報を使っているので、常に盗まれる可能性を考えなければなりません。スマホの本人確認など時間稼ぎ（紛失したり盗まれたときでもすぐには破られない）には十分ですが、認証の基礎とするには脆弱すぎます。
マトリックス認証については、何が安全なのか全く理解できません。パスワードよりビット数が落ちてると思います。乱数で選んでも８文字のパスワードよりもずっとビット数が小さいと思われますが、人間にマトリックスの要素を選択させたら好みが偏るので、実際の情報量はもっと小さいと思います。マトリックス要素の人間が好むパターンの上位１００個で辞書攻撃すると、敗れる確率はどのくらいでしょうかね。

Answer 3

既にパスワードが盗まれており、盗んだ人がパスワードを変更せずにこっそり悪用しているようなケースで、その悪用を止めることが出来ます。盗まれていることが前提なので、何だかなぁと思いますが。

Answer 4

そこからパスフレーズに繋げて連想しますかね