「あなたの母親の旧姓は?」「あなたが最初に飼ったペットの名前は?」――。パスワードを忘れた場合に再設定できるようにするため、こうした「秘密の質問」を入力させるサービスは少なくない。だが、2017年6月に改定された米国標準技術研究所(NIST)が発行するガイドライン「SP800-63」では、秘密の質問をほぼ全面否定する記述に変わった。 追加された文言は以下の内容だ。 記憶シークレットを選択する際、検証者(Webサイト側)は利用者に対して、特別なタイプの情報(例えば「最初に飼ったペットの名前は何ですか?」など)の入力を求めてはいけない。 記憶シークレットとは、利用者だけが知っている情報のこと。パスワードの再設定用に秘密の質問を設定するのは、パスワードとは別の記憶シークレットを選択するという意味だ。これに秘密の質問を利用してはいけないとされた。非推奨の度合いは「SHALL NOT」。最も強い否定