パスワードの定期変更をユーザーに求めるべきではない

CSD（Computer Security Division）が発行する文書のひとつ、Special Publicationは、米国の政府機関がセキュリティ対策を実施する際の指針になる文書として、パスワードの定期変更では「Password1」といった具合に末尾に数字を追加するなど、その規則性が容易に推測できることなどからシステムはパスワードの定期的な変更をユーザーに要求すべきではないという。
併せて秘密の質問も使用するべきではないとしており、今後のさまざまな認証システムの開発に多大な影響を与えることは確実。
このままいくとパスワードを定期変更を要求されることが過去のものになる日は近そうだ。


パスワードの定期変更は良くないという文書が発表されているようです。
パスワード変更を促しても、所詮、ちょっと変えるだけで法則がバレやすいって理由からだそうですが。
まぁ、図星でしょうね。

何かとパスワードを求められる事が多くなった現代。
ユーザ名を含めてそれぞれのサービス毎に変えるのも面倒臭い…。
で、つい同じパスワードを使ってしまう事が多いのですが。

そのサービスの中で、パスワードを定期的に変更しろって言われたら、やっぱり別のパスワードを考えるのが面倒だからほぼ同じパスワードで済ませようとしてしまいます。
手っ取り早いのが、最後に数値…。
もしくは覚えやすい英単語。

忘れたらその程度にしておかないと忘れちゃうでしょうからねぇ。
その都度パスワードのリセットをしてもらうのも嫌ですし。
しかも、サービスによっては数回間違えるとロックがかかりますし。

ちなみに、この理論で言うと、まず基本となるパスワードはハッキングされているってことですよね。
その上で、最後に数値をつけたりしてパスワードを見破る。
なんか、それも面倒な気がしますが。

まぁ、何れにしてもパスワードは忘れないようにしないといけないですね。