ZAPAnet総合情報局 > [Z]ZAPAブロ〜グ2.0 > プログラミングTIPS > 「定期的なパスワード変更」の効果

「定期的なパスワード変更」の効果

このエントリーをはてなブックマークに追加
2013年08月13日 カテゴリ:プログラミングTIPS
オンラインサービスを利用していると、「定期的なパスワード変更」を求められて、かなりウザい思いをすることがあります。

サービス側が「定期的なパスワード変更」を求めるのは、外部からの総当たりによるアタックでパスワードが破られてしまうのを防ぐため、外部にパスワードが漏れたときに被害を抑えるため、などの理由が考えられます。

総当たりアタックにしても、パスワード漏洩にしても、それはサイト運営側が検知して防護策、対処等を講じるべきであって、ユーザー側が「定期的なパスワード変更」をしても意味が無い、という考え方があります。意味がないのに、「定期的なパスワード変更」を求められると、とてもウザく感じます。だから、「定期的なパスワード変更」の要求はやめろ、という意見もあります。

本当に、「定期的なパスワード変更」の効果はないのでしょうか。

たとえば、先日発生したサイバーエージェントAmebaの不正ログインの件を見てみましょう。
■不正ログイン概要
2013年4月1日(月)〜8月8日(木)の期間を対象に弊社内で調査を実施した結果、以下の不正ログイン状況を確認いたしました。
<期間>    2013年4月6日(土)〜2013年8月3日(土)
<件数>    243,266件     ※現在、調査中のため、件数が増減する可能性があります。

【重要】Amebaへの不正ログインに関するご報告 ※追記あり|スタッフブログ

Amebaでは、4月6日〜8月3日までの約4ヶ月間、ずっと不正ログインを許していたことになります。

この不正ログインは、今年大流行の「他社サービスから流出した可能性のあるID・パスワードを利用しての不正ログイン」である可能性が高いです。

もし、「定期的なパスワード変更」をAmeba側からユーザーに要求していれば、ここまでの被害は起きていなかったかもしれません。

直接的なランダムなアタックに対して「定期的なパスワード変更」はあまり意味がないとされています。でも今回のような、「他社サービスから流出した可能性のあるID・パスワードを利用しての不正ログイン」には一定の効果があると言えそうです。原因は、「複数サービスでのID・パスワードの共通利用」(いわゆるパスワードの使い回し)というセキュリティの低い運用方法から来ています。定期的にパスワードを変更させて共通利用できなくしてしまえば、他社から漏れたパスワードではログインできなくなります。結果として、「定期的なパスワード変更」に効果が出てきます。

そもそも、「ID・パスワードの使い回しは危険でやめた方が良いので、このような例は特殊だ」、という意見もあるかもしれません。でもAmebaの件からも20万人以上がID・パスワード使い回し運用をしているのが現実です。「不正ログイン開始から4か月も放置するのは異常で特殊だ」、という意見もあるかもしれません。でもIT業界の雄サイバーエージェントでさえ、4か月も気付かないのが現実です。

ということで、他社から漏れたID・パスワードを利用した不正ログインに対しては、「定期的なパスワード変更」に一定の効果があると言えるのではないでしょうか。