【米研究】パスワードに「数字と記号混ぜる」と「秘密の質問」が非推奨になる

1 ：VIP

パスワード設定、記号･数字の混合を「推奨せず」　米機関が指針表明
2025年11月6日 5:00

米国立標準技術研究所（NIST）は今夏、パスワード認証の指針を約3年ぶりに更新した。記号や数字を組み合わせる設定や、ペットの名前などを尋ねる秘密の質問での本人確認を「推奨しない」と改めた。攻撃側の技術進化によって効力が薄れているためだ。企業はパスワード設定を再考する時を迎えている。

https://www.nikkei.com/article/DGXZQOUC205YN0Q5A021C2000000/

25/11/07 16:42 ID:OaHrDJQn.net

Comments

[1. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

記号･数字が「必ず」含んでいるって事が組み合わせの数を減らしているってだけだろ
パスワードの桁数を上げる方がよっぽど重要じゃね？

[2. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

文字数固定をやめて、10文字以上20文字以下みたいにしたら解析に対しては十分すぎる。
文字数固定で、大文字を含める、数字を含めるなんかの条件が増えるほど対解析強度は下がるし、ユーザーのパスワード忘れも増える。
パスワードの流出に関してはシステムの問題じゃ無いしな。

[3. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

なるほど、必ず特定の文字を含めると逆にパターンが減るのか
大文字小文字を含めることを推奨した上で、そうしなかった場合の被害は補償しませんくらいにしとくのがいいのかもね
私は秘密の質問の答えはどんな質問でも「秘密の答え」にしてたなそういえば

[4. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

いくつかの大事なメーラーとかサイトが完全に使えなくなったわ。
一番のポカは復旧のためのYahoo!メールのパスワードを急遽変更後に忘れた
(数日前に違うパソコンからメールチェックしたことを忘れて「ハッキングされた」
とアラートが来たのでパニックになって覚えられないパスワードに変更してしまった)

[5.]

���Υ����ȤϺ���ޤ�����

[6. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

>>22ってたとえばAmazonでAmazonaaaがバレたら「ほーん。サイト名＋aaa」かってならんの？人が見れば一発じゃね

[8. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

>>6
知人にルール漏らしてどれかのパスワード知られるならともかく
リスト型攻撃は何も考えずに流れ作業だからそんなのいちいち考えないよ

[13. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

>>8
サイト名＋αはむしろ定番パスワードになってそうだけどな

[7. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

パスワードアプリのランダムパスワード使ってるわ
パスキーも全部登録して顔認証で使えて楽だわ
何でもパスワードいる世の中もう自分で管理するの無理すぎ

[9. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

正直パスワードを使うって時代じゃなくなったんだよな
今はもう生体認証とかでパスキーに移っていってるから
パスワードを使わない流れになってきてる

[10. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

一方、時代遅れ日本企業はいまだに大文字の使用を強要していた

[11. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

当たり前だのクラッカー

[12. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

面倒くさいから全部ワンタイムパスワード発行でええわ
メインアドレス取られたら諦めろ

[14. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

サイト名＋パスワードは
辞書アタックに含まれるやろ
1文字増えたくらいの効果しかない

[15. 自他とも認めるﾊﾟｰﾃｨﾏﾝ]

顔認証も虹彩認証も掌紋認証も、結局は生体情報（画像）を記号化して使っているだけだから、仕組みが解明されるとブルートフォースアタックは可能になってしまう。ブルートフォースアタックを防ぐには、少ない試行回数しか認めず、間違い続けたらいきなり全情報をアクセス不可能にしてしまうくらいの仕組みにするしかない。
あるいは、クラックされても困らない情報以外はコンピューターに扱わせないことである。某ビール会社は結局電話とファクシミリで注文情報を取るアナログなやり方に戻して業務復旧を目指しているそうである。