年に数回警鐘が鳴るパスワードについて。
今回もトレンドマイクロより危ないぞというハイハイな調査結果が出ており、そうは言われても何十、人により3桁個にもなるであろうパスワードを全部違うものにしろと言われても無理があるわけで。
最後のアンケートはパスワード関係ございません。
元ネタはこちら。
インターネット上のサービスを利用する際、パスワードを使い回している人が８割超に上ることが２９日、トレンドマイクロの調査で分かった。
ウルトラ大昔なパソコン通信とかの時代ならば、例として私は東京BBSと草の根ネット2～3箇所しか利用していなかったので全部パスワードはバラで設定。
しかし現在となるとメールアドレスだけで数十、ネット通販も軽く10以上、銀行など金融、SNSとか当サイトまで含めると本当に100を超えても不思議ではなし。
国内の５１５人を対象に実施。１～３種類のパスワードを使い回していると回答した人は５６％に上り、４種類以上の人を含めると計８５％に達した。
少なくとも1種類だけを使いまわしている人は5割も居なさそうながら、人間が覚えきるパスワードは4種類少々が85％くらいなのでしょう。
種類が多くなるとパスワードの記憶以外、どのサイトがどのパスワードだったか忘れてしまうこともあるだろうし、3回間違えるとアレになる場合は4種類以上のパスワードは逆にログイン不可になる面倒さもございましょう。
というわけでパスワードどのくらい使いまわしているかをお聞きしてみたかったけれど、たいていの人は使いまわしているだろうから別の方向で。
source：投票／アンケート - 人気ブログランキング
性別などはスルーしてもOK。途中経過は「結果を見る」ボタンをクリックかタップで。結果は来月、独自調査結果の中のミニアンケート結果の一部として発表されるはず。※2020.11.04 締めて画像へ差し替え
銀行やクレジットカードは実物を自身が所持している前提ですから
「所持＋番号」で2要素認証になります。
IDとパスだけでログインできるオンラインサイトに使うパスワードを使い回すのとは危険度が違うかと。
＞パスワードを全部違うものに
全部同じは怖いので、ベースになる数字8ケタ（全て共通）と適当な文字列（わかりやすいヤツ）を数個組み合わせてますね。
それでもたまにわからなくなりますがw
＞逆にログイン不可になる
いちど自分のブログでやらかしかけました……
長めのパスワードな上、５回失敗したら1日程度ログインできなくなるようにしていたので冷や汗ダラダラ。
＞パスワード使い回し
同じパスワードですべてのオンラインサービスを利用していた場合、メールアドレスが流出すると9割くらいのサイトに不正ログインされてしまうため、危険度が高いだろうことは分かります。ですが、定期的な変更を強要するサービスは壊滅して欲しい。
Googleでさえログインパスを変えろと言ってこない訳で。
変える頻度を増やしても、攻撃者にとってはどのパスワードも初対面。毎日レンタカーを借りたら車上荒らしに遭う確率が減るとでも。そういうサービス提供会社は美和ロックとコラボして、空き巣の被害に遭った方々へ「定期的に家の鍵を変えれば空き巣の被害は減らせますよ」と営業して来たら良さそう。
＞銀行やクレジットカードの暗証番号
私は4ケタしか知りませんが、それ以上の桁数を持つカードってあるのでしょうかね。4ケタですと0～9の10×10×10×10で10,000通り。カードの暗証番号が「万が一」で突破されるケタ数で良いのか。その辺のセキュリティ意識はよく分からんもの。
四桁の暗証番号はカード本体があるから意味があるわけで、カード本体があるか確認できないWebでは暗証番号で認証してはいけないんですよｗ
＞「所持＋番号」で2要素認証
確かに。SNSのアカウント名+パスワード、メールアドレス+パスワード、ならばID部分がバレているなら1要素ですな。
ところが当サイトの私の（管理者）IDとパスワードは誰も知らないだろうから2要素。私は皆さんのIDを設定したので知っている（本パスワードは知らない）ので1要素となり、私は皆さんのキャッシュカードを拾っている状態。
そこでパスワードの文字数が無制限か4桁の数字かでは意味が全然変わるという。
＞５回失敗したら1日程度ログインできなくなる
私は銀行口座のAPIでセルフ出禁したことがあり、「好きな色は？」と聞かれてもそんな設定した記憶が無く。適当に黒とかBlueとかredとか入れまくったらキャッシュカードの引き出しごと止められて草は生えなかった。
＞攻撃者にとってはどのパスワードも初対面
これ。本当にこれわかっていないバカがパスワード変えろ変えろ言う。
今日のパスワードが1234で翌日5678でも「さて、攻撃開始」な第三者にとっては今日も明日も1万分の1の確率なのだから変更は無意味。
むしろ覚えるために付箋に書いて貼ったり覚えやすい文字列にする方が危険にも関わらず、そのロジックを無視して変更＝正義と思い込んでいるアホがバカすぎてクソ。
＞カード本体があるか確認できないWebでは暗証番号で認証してはいけない
私の管理者IDは誰も知らないので4桁の数字でOK？