「定期的なパスワード変更」の効果
2013年08月13日 プログラミングTIPS
オンラインサービスを利用していると、「定期的なパスワード変更」を求められて、かなりウザい思いをすることがあります。
サービス側が「定期的なパスワード変更」を求めるのは、外部からの総当たりによるアタックでパスワードが破られてしまうのを防ぐため、外部にパスワードが漏れたときに被害を抑えるため、などの理由が考えられます。
総当たりアタックにしても、パスワード漏洩にしても、それはサイト運営側が検知して防護策、対処等を講じるべきであって、ユーザー側が「定期的なパスワード変更」をしても意味が無い、という考え方があります。意味がないのに、「定期的なパスワード変更」を求められると、とてもウザく感じます。だから、「定期的なパスワード変更」の要求はやめろ、という意見もあります。
本当に、「定期的なパスワード変更」の効果はないのでしょうか。
たとえば、先日発生したサイバーエージェントAmebaの不正ログインの件を見てみましょう。
Amebaでは、4月6日〜8月3日までの約4ヶ月間、ずっと不正ログインを許していたことになります。
サービス側が「定期的なパスワード変更」を求めるのは、外部からの総当たりによるアタックでパスワードが破られてしまうのを防ぐため、外部にパスワードが漏れたときに被害を抑えるため、などの理由が考えられます。
総当たりアタックにしても、パスワード漏洩にしても、それはサイト運営側が検知して防護策、対処等を講じるべきであって、ユーザー側が「定期的なパスワード変更」をしても意味が無い、という考え方があります。意味がないのに、「定期的なパスワード変更」を求められると、とてもウザく感じます。だから、「定期的なパスワード変更」の要求はやめろ、という意見もあります。
本当に、「定期的なパスワード変更」の効果はないのでしょうか。
たとえば、先日発生したサイバーエージェントAmebaの不正ログインの件を見てみましょう。
■不正ログイン概要
2013年4月1日（月）〜8月8日（木）の期間を対象に弊社内で調査を実施した結果、以下の不正ログイン状況を確認いたしました。
＜期間＞ 2013年4月6日（土）〜2013年8月3日（土）
＜件数＞ 243,266件 ※現在、調査中のため、件数が増減する可能性があります。
【重要】Amebaへの不正ログインに関するご報告 ※追記あり｜スタッフブログ
Amebaでは、4月6日〜8月3日までの約4ヶ月間、ずっと不正ログインを許していたことになります。
この不正ログインは、今年大流行の「他社サービスから流出した可能性のあるID・パスワードを利用しての不正ログイン」である可能性が高いです。
もし、「定期的なパスワード変更」をAmeba側からユーザーに要求していれば、ここまでの被害は起きていなかったかもしれません。
直接的なランダムなアタックに対して「定期的なパスワード変更」はあまり意味がないとされています。でも今回のような、「他社サービスから流出した可能性のあるID・パスワードを利用しての不正ログイン」には一定の効果があると言えそうです。原因は、「複数サービスでのID・パスワードの共通利用」（いわゆるパスワードの使い回し）というセキュリティの低い運用方法から来ています。定期的にパスワードを変更させて共通利用できなくしてしまえば、他社から漏れたパスワードではログインできなくなります。結果として、「定期的なパスワード変更」に効果が出てきます。
そもそも、「ID・パスワードの使い回しは危険でやめた方が良いので、このような例は特殊だ」、という意見もあるかもしれません。でもAmebaの件からも20万人以上がID・パスワード使い回し運用をしているのが現実です。「不正ログイン開始から4か月も放置するのは異常で特殊だ」、という意見もあるかもしれません。でもIT業界の雄サイバーエージェントでさえ、4か月も気付かないのが現実です。
ということで、他社から漏れたID・パスワードを利用した不正ログインに対しては、「定期的なパスワード変更」に一定の効果があると言えるのではないでしょうか。