Webサイトの、パスワードの書式強制

質問

セキュリティー対策とはいえども、
なぜ、サイトによって異なるパスワードの書式を
（ほとんどはに似た書式が通りますが）
要求してくるのでしょうか？

もう、頭の中で、パスワードを覚えきれません。

今所持しているパスワードは４０個ぐらいあり、
ＰＣだけ、Lastpassで管理しています。
＃ＩＤは、１０００個以上あります。

書式例：
数字だけ４桁のみ
数字だけ６桁のみ
数字だけ８ケタのみ
英数字６～８文字（記号使用不可）
英数字８～１６文字（記号使用不可）
英数字８～１６文字（記号使用可）
英数字１２～１６文字（記号使用不可）
大文字小文字含む英数字８～１６文字（記号使用不可）
大文字小文字含む英数字８～１６文字（記号使用可）
記号と大文字小文字含む英数字８～１６文字（記号も強制）

強制でなく、保障しませんよでもいいので、
何らかの形で弱いパスワードでもいいので、通ればよいと
思っているのは、うちだけでしょうか？

回答No.4

utun01 · ベストアンサー

要求してくる理由は#1さんの仰る通りです。
個人的には、以下の3種類のパスワードがあれば問題無いと思っております。

・数字のみ4文字
・英数（大文字、小文字、数字混合）8文字
・英数記号（内3種類、記号のみ必須）8文字

この3パターンのパスワードを使っていれば99%くらいはカバーできる気がします。
まぁ同じパスワードを使いまわすのはどうかってな話はありますが、
現実的には使い回さないと無理なので、３～５パターンくらいで網羅性の高いパスワードを覚えておけばいいんじゃないでしょうか。

ちなみに、「保障しませんよ」と規約に書いても、個人情報保護法的にそれは許されませんので、
ユーザ情報を5000件以上保持するサイト（会社）ではその規約に効力は発生しません。

蛇足ですが、実際にはハッシュ化されたパスワードを抜かれたら、記号入れてようが8文字程度ではすぐに解析出来てしまう為、正直あまり意味が無い気がしています・・・。
ブルートフォースアタックが可能なログインシステムをどうにかするのが先だろ！ってサイトは未だにありますよね。

お礼

ありがとうございます。

質問に書きました、９種類は、例ではありますが、他にも書式例が
ありまして、かなり多くのパスワードが必要になっています。

＃例外的なサイトに多い部分があります。

例えば。
0123 でないといけない例、012345 でないといけない例、01234567 でないといけない例
abcde890 でないといけない例（自由英数字）
Abcde890 でないといけない例（とりあえず英大英少を混在必須）
AbcDe890 でないといけない例（英大文字の最小文字数指定）
AbcD0123 でないといけない例（数字文字の最小文字数指定）

・・・その他、これの組み合わせも含めますと、いろいろとあります。

サイトごとにＩＤ（メールアドレスも）を変えて、パスワードを可能な限り
１本化する方法で個々のサイトを識別していたのですが、かなり難しく
なってしまった面があります。

＃メールアドレスは、catchall をそのために有効にしてあります。

メインパスワードは４つ覚えていて、古いサイトは、この４つのうちのどれかで
使いまわしがきいてはいたのですが、特におととしあたりから、パスワードが
厳しくなるということで、ほとんど覚えていないのが現状です。

パスワード自体はハッシュであっても、ハッシュに変換する前のパスワードがどこかに
一瞬でもメモリ上に存在するわけですので、その時点で、意志を問うことも
不可能ではないかとは思いますが、やはり法律ですか・・・

回答No.3

blanc210

ユーザが登録したパスワードは、（まともなシステムであれば）不可逆の暗号化を施されてデータベースに登録されます。
ですので、
「ほら、あなたはこんな弱いパスワードを入れたから不正アクセスされたんじゃないですか？」
と言うことができません。
他の回答者さんもおっしゃってるように非難されるのは運営者なので、そういうリスクを回避するために複雑なパスワードを求めるのでしょうね。
とはいえ、ユーザにとってはめんどくさいのも確かで、それが自サービス登録への障壁となりますので、
リスク回避とユーザの利便性、さらにサービスの内容（お金を取り扱うか、個人情報を取り扱うか、など）等々を秤にかけて、求めるパスワード強度を決定することになります。
個々のサービスがそれぞれのセキュリティポリシーに沿って決定するのでばらばらになるのでしょうね。

お礼

ありがとうございます。

質問にあるように、
「強制でなく、保障しませんよでもいいので」
とあるとおり、クラックされても知らないよオプションが
あっても良いのではないか、ということです。

このチェックをしていると、会員情報の１つとして保存され
サポートの時に、サポート側がリスクを回避できるのではないかと

補足

補足欄ですみません。

例えば、以下のようなものも、該当します。

定期的にパスワードを変更して下さいと利用規約にあったとして
パスワードを変更しなくても、警告が出るのみそのままずっと使える
サイトと、完全に利用できなくなるサイト（ともともとその警告を
出さないサイト）とありますので

回答No.2

yana1945

私は、１９９２年からメールを始め、
質問者と同じ経験を何回もしています。

私の、対処の仕方は、
英数字混在（記号可）ＵＳ／ＬＳ（Ｓｈｉｆｔ）識別の
パスワードを要求するＷｅｂｓｉｔｅに切り替えていきました。
（取引銀行、ネット銀行、証券会社も変えました）

東京オリンピックの後、コンピュータのオンライン化が
始まり、数字４桁のパスワードで事足りていた時代には、
ハッカーはいませんでした。

現在のインターネット時代のセキュリティ保護は、
出来るだけ複雑なパスワードを要求する方法が主流ですが、
指紋認証等を採用する、金融機関が有ってもよさそうに
思います。

１つのシステムで、弱い（ハックされ易い）パスワードを
認めると、庶民はそこに流れるため、システムの安全上の
品質が、一番弱い所で落ちていきます。

お礼

ありがとうございます。

＞英数字混在（記号可）ＵＳ／ＬＳ（Ｓｈｉｆｔ）識別の
＞パスワードを要求するＷｅｂｓｉｔｅに切り替えていきました。

具体的に、これはどのような形でしょうか？

ネット銀行とかカードあたりは、全部管理を一元化しているので
パスワードは２つで済むのですが、そこから、振込のパスワードを
覚えていないという銀行が多数あり、ほとんどが入金確認専用の
口座になっているのが事実です。
＃全部暗証番号は同じものを使用しています。暗証番号紛失防止で

＞東京オリンピックの後、コンピュータのオンライン化が
この当初は、確かにいりませんでいたが、インターネットがはやる
前からも、キャッシュカードから暗証番号を抜き出して・・
というパターンが結構あった感じもしましたね。
それで、後に暗証番号をカードに保存しない形態にはなりましたが

指紋認証がＰＣだけでなく、外付け機器としてスマホやガラケーでも
利用できるようになると、かなりかわるかもしれませんね。
パスワードマネージソフトを結局使うことにはなるものの
指紋登録は年１回は必要ですが、全デバイスでこれらのパスワードの
紛失から守ることができる感じもします。

補足

補足欄ですみません。

例えば、以下のようなものも、該当します。

定期的にパスワードを変更して下さいと利用規約にあったとして
パスワードを変更しなくても、警告が出るのみそのままずっと使える
サイトと、完全に利用できなくなるサイト（ともともとその警告を
出さないサイト）とありますので

回答No.1

t_ohta

弱いパスワードを認めて、もし不正アクセスなどの事故が起きたら、世間から非難されるのは利用者では無くサービス運営側です。
なので、運営側としては自分たちのセキュリティーポリシーで定めた形式での利用を求めます。

お礼

ありがとうございます。

質問に書いてありますが、「保証しませんよ」という前提も含みますので
セキュリティーポリシーを受け入れなくても、サービスを提供してもらう方法は
あるのか？という問いも今回は含んでいます。