COOKPADの「伏せ字にせず入力」ボタンは素晴らしい

@tokuhiromから教えてもらったのですが、COOKPADのスマートフォン向けWebサイトのログインページには、パスワードを「伏せ字にせず入力」するボタンがついているのですね。 さっそく見てみましょう。まずはログイン画面です。パスワード欄の下側に、「伏せ字にせず入力」ボタンが見えます。 「元に戻す」ボタンを押すと、伏せ字に戻ります。 僕はこれを知って興奮しました。なぜなら、拙著「体系的に学ぶ 安全なWebアプリケーションの作り方」には以下のように書いたからです（P337～P338）。 パスワード入力欄のマスク表示は、現在の常識的なガイドラインですが、実は筆者自身は疑問を持っています。パスワード入力欄をマスク表示にすると、記号や大文字・小文字交じりの安全なパスワードを入力しにくくなるので、利用者は簡単な（危険な）パスワードを好むようになり、かえって安全性を阻害するリスクの方が大きいのでは

[MagnesiumRibbon]

それはWebサービスの仕事じゃなくてブラウザの仕事じゃないのか/type=passwordで作ってあとはブラウザが切り替えボタンを勝手に出せばいいと思う

[hiroki0527]

スマートフォンは、PCやガラケーの常識に囚われて作るとデバイスとミスマッチだったり、特性を活かしきれていないっていないことが普通にまだまだあるから、気が抜けない。（ので面白い。）

[hxmasaki]

うれしい

[hasegawayosuke]

礼節を重んじる徳丸さんでさえ呼び捨てにする tokuhirom。

[JULY]

「『パスワードの文字を表示する』チェックボックスの初期状態はオフになっていることが条件」はいっ、ここ重要。テストに出るからね～。

[arc_at_dmz]

type="password"じゃないときにIMEが入力内容を覚えちゃって、次から先頭のアルファベットを入力するとパスワード全体が補完結果に出るようになって悶絶した覚えがある。

[serihiro]

セキュリティ要素以外でこれが実装された背景としては「登録した通りに打ってるのにログインできないんですけど！クックパッド使えないじゃん！」っていうユーザの声が多かったのかなと想像

[chlono]

コメ欄のブラウザ側で実装すればいいのにという意見に賛成。

[pocotan001]

IEはtype="password"が書き換え禁止なのでPC側は実装がめんどくさい

[miyamae]

jQueryで実装サンプル作った。http://t.co/joQDmOSe RT @ockeghem: 日記書いた（パスワードの話） COOKPADの「伏せ字にせず入力」ボタンは素晴らしい | 徳丸浩の日記

[k-holy]

社内向けアプリケーションなら、そろそろこれ標準装備しよう

[uca_co]

三大論争なやましい

[dmnlk]

徳丸浩の日記: COOKPADの「伏せ字にせず入力」ボタンは素晴らしい

[iwadon]

Facebookの一度パスワード入力に失敗すると二度目は丸見えになる挙動を思い出した。https://developers.facebook.com/bugs/415034975206042

[anegishi]

伏せ字で最後の一文字が少しの間だけ見えるのがベストな気がする。

[shintokeimail]

ふむー

[maple_magician]

興味深い取り組み。私もこれはブラウザ側でやるのが正しい……とおもうけど、対応してない中でwebサイト側からの対応が始まったのは興味深いと思う。ブラウザでの早期実装が望ましい。

[kussun]

同意。 "この手の基本的な UI の改良はブラウザ側で行われることが望ましい。"、"入力欄をマスク表示にすると、利用者は簡単なパスワードを好むようになり、かえって安全性を阻害するリスクが大きくなる"

[secfyi]

パスワード入力欄を表示するオプションについての記事。「パスワードにマスクすべき。マスクしないのは脆弱」という考え方は、今後変わるかもしれない。

[umaken]

COOKPADの「伏せ字にせず入力」ボタンは素晴らしい | 徳丸浩の日記

[yusukem]

パスワードは伏字という固定観念ではなく、ショルダーハックと、ユーザが危険なパスワード設定するのリスクを比較して手法を選択する必要がある。

[mumincacao]

Password そのものよりも入力内容が記憶の中と合ってるかどうかがわかればそれでいいから内容にあわせて色が替わるやつがあるだけでらんだむ文字列の照合も要らなくなってすてきかなぁ？（・ｘ【みかん

[AmaiSaeta]

はて聞き覚えがあるような、と思ったらこれか http://www.itmedia.co.jp/enterprise/articles/0907/01/news033.html 。2009年からこの議論あったのな。 | 追記にもあるようにツール(ブラウザ)側での実装が望ましいね。

[raimon49]

色々な議論があるところだけど、スマートフォンであれば肩越しに見られるリスクはPCより低いし一つの提案としてはあり。

[yellowman001]

Kotaro Kokuboさんの主張もごもっとも。だが、一番にユーザーのことを考えるべき。ブラウザが追いつくまでユーザーが不便なのであれば本末転倒、進歩は無い

[solidstatesociety]

ただtype="password"の時に実現するようにしないとtype="text"表示だと問題でるよね

[boyasan]

ヤコブ先生は伏字やめろってむかしから言ってるけど、やはり習熟度のトレードオフがあるから実際には実装されない。ていうか最近はやりの「iiii」にするの、あれ嫌。

[forestk]

livedoor の新規登録画面だと「パスワードの入力内容を確認して入力する」というチェックボックスがありますね https://member.livedoor.com/register/input

[creaism]

（パスワードの話） COOKPADの「伏せ字にせず入力」ボタンは素晴らしい | 徳丸浩の日記

[sugimori]

すばらしい

[nanoha3]

うーん

[pmint]

Facebookもやってた気がしたけど違うのか。ユーザーが存在するかのヒントはくれる。パスワード間違いのコストやリスクは軽減しないと。ロックアウトとか愚の骨頂。ゆうちょなんかロックアウト解除に書類手続きとかw

[suginoy]

「パスワード入力欄をマスク表示にすると、記号や大文字・小文字交じりの安全なパスワードを入力しにくくなるので、利用者は簡単な（危険な）パスワードを好むようになり、かえって安全性を阻害する」

[Barak]

追記とブコメも参照。

[Chisei]

追記も読んだ。

[teppeis]

ん？っと思ったことは追記で指摘されていた。

[ftype]

むずかしいねえ

[Sato_4tree]

なるほどねー。モバイル時代は伏字も何もせず丸見えなサイトも多かったけど、スマホになって減りましたね

[tmatsuu]

そういえば無線LANのパスフレーズ入力なども生パスワードを表示する機能があるね。OSXだけ？