米国政府機関「パスワード定期変更や大文字数字強制はダメ」数十年の研究の結果、逆にセキュリティを損なうと判明😲

https://www.itmedia.co.jp/news/spv/2410/07/news054.html
“パスワード変更”をユーザーに定期的に要求はダメ　米国政府機関が発表　「大文字や数字を入れろ」の強制もNG
Innovative Tech
米国立標準技術研究所（NIST）が、組織はユーザーに定期的なパスワード変更を要求してはならないという内容を含めた新しいガイダンスを発表した。

多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。

　これは、Webサイトやソフトウェアにおいて、定期的なパスワードを変更することが実際にはセキュリティを損なうことを示す数十年にわたる研究に基づいている。

　パスワードを変更するたびに、攻撃者が推測しやすい貧弱なパスワードをユーザーが選んでしまうことが示されている。例えば、無数のパスワードを覚えられないため、単純な単語やフレーズに増加する数字を付け加えるだけといった悪い決定をし始める。「password1」「password2」「password12」というように。

　新しく定めた標準では、NISTはオンラインツールやソフトウェアが「定期的にパスワードを変更するようユーザーに要求してはならない」としている。これは、頻繁な変更がかえって脆弱なパスワードの使用につながる可能性があるためである。ただし、パスワードの侵害が疑われる場合は、即座に変更を強制する。

電話番号で紐付けしてるからなあ

＞パスワードマネージャーの使用を許可し、パスワード入力時の「貼り付け」機能も許可すべきである。
​
その方が抜きやすそう

Unicodeはやめたほうがいいと思うけどね
複数端末またがったときに同じに見える文字が別コードとかあるし

「定期的に変えさせろ」
「大文字小文字数字を混ぜさせろ」
これ言い出したの誰だよ

会社のパスワードなんてみんな会社名＋数字だからな

暗証番号もだいたい同じにしてるわ混ざるから使い分け諦めた

マイナンですら覚えられず行列

こういうの100%真に受けていわゆる全角を許容しておかしな事になるのがジャップ

>パスワードを変更するたびに、攻撃者が推測しやすい貧弱なパスワードをユーザーが選んでしまう
ほえ～

もしかしてNSAに都合がいい方向に持っていこうとしてる？

紙に書いとけ

確かに
もう数字は全部４５４５でええなってなる

自分が忘れる問題あるからな

大文字小文字数字記号強制だとこれらがすべて入っていないパターン排除されるから当たりやすくならない？😭

会社のPCログインするときとかな、

大文字入れろ

→パスワードの前後どちらかに大文字のAを1個だけ入れるやつ多発

皆考えること同じよ

要点はこう
「要求が高いと紙や付箋とかメモテキストで管理されてソーシャルハックの危険性が高いから、それなら総当たりに弱いほうがマシ」

日本語使わせてくれよ
覚えやすい上に複雑に出来るわ