パスワードがmaxlengthを超えてもユーザーは気づかない | 水無月ばけらのえび日記

公開: 2013年3月11日11時25分頃 三菱UFJニコスから、「パスワードの入力桁数に関するご案内」というPDF文書が出ています。 パスワードの入力桁数に関するご案内 (www.cr.mufg.jp)「三菱UFJニコス」という名前の通り、複数の会社が合併し、サービスも統合されたわけですね。従来はログインフォームが別々で、パスワードの長さもまちまちだったものを、ひとつのログインフォームに統合……したところ、ログインできなくなる人が現れたという話のようで。 原因は以下のように説明されています。 ①リニューアル前のMUFGカード(UFJカード含む)、DCカード、NICOSカードのWEBサービスの(ID登録及び)ログインの際、パスワードは下記「パスワード規定桁数」を超えて入力することができませんでした。 ②リニューアル後のNEWS+PLUSログインページでは、弊社のどのブランドWEBサービスに

[nihen]

maxlengthは実際の制限+1で設定しておく、というのを以前同僚に教わりました

[zyugem]

そもそもパスワードの長さ上限て何のためにあるんだろ？

[AmaiSaeta]

そもそもmaxlengthは要らない子な気がしてきた。

[daichirata]

input type=passwordでHTML5のバリデーションだと、入力制限かけると超えてるかどうかユーザーが気づかない問題。なるほど確かにありそう。

[wasai]

そもそも、maxlengthを超えたパスワードを入力した場合、警告をしていれば問題なかったように見えますね。

[mumincacao]

登録ふぉーむは制限ないのにろぐいんふぉーむは制限されてて気づくまでにかなり時間かかったことあるなぁ・・・ けっきょく maxlength 解除してふる桁ぱすわーど投げたら通るし・・・ （ーｘ【みかん

[pmakino]

過去に大変身に覚えがある話。「ユーザーが長すぎるパスワードを入れた場合～あえてmaxlengthをつけず、サーバー側で全部受け取ってエラーにするほうが良い」<全くその通りです。本当にその通りです。

[akulog]

前にもこんなのあった気が。。。

[kazuau]

昔のUNIX(パスワード8文字で切り捨て)からNIS(yp)管理にしたときに頻発した事象だね、懐かしい。(って今世紀でも似たようなのあるみたい: https://h50146.www5.hpe.com/products/software/oe/linux/mainstream/support/faq_linux/linux_2.html )

[iwadon]

"input maxlength 気づかない"あたりでググると色々見つかる。この記事は以前読んだことがある。

[invent]

パスワードがmaxlengthを超えてもユーザーは気づかない | 水無月ばけらのえび日記

[mas-higa]

パスワードの桁数を気にするシステムって、パスワード文字列をハッシュ化してないってこと?

[ad2217]

パスワード隠す弊害の方が、パスワードが見える弊害より大きいというケースは多い。すべてのブラウザは設定次第でパスワードが見えるようにするべきだろう。

[vitaminsii]

「パスワード入力欄の幅に余裕を設け、入力された桁数がはっきり分かるようにする」「パスワード入力欄にはあえてmaxlengthをつけないようにする」

[Ohgyoku]

あるあるあるあるあるあるあるある……。これUIが悪いって次元じゃなくて、情報が失われる可能性があるっていう点でバグとか脆弱性と言って差し支えないレベルだと思うんだが。

[tinsep19]

新フォームでmaxlengthの値が増えたため、長いパスワードを使っていた (つもりになっていた) 人は逆に全桁入力できるようになってしまい、ログインできなくなったというわけです。これはなかなか考えさせられる問題です

[typista]

ぽけったー 水無月ばけらのえび日記

[atsushifx]

まずは十分に長いパスフレーズが入れられるようになるべきだと思う。最低でも32文字くらいの長さは欲しい。

[sisya]

「入力した桁数がわかるようにする」は、解として考えないほうがいいかもしれない。chromeを使った人なら知っているとおもうけれど、chromeでパスワード欄の入力文字数を把握する事は正直厳しい

[Falky]

そもそも事前に使用可能文字種と文字数を教えてくれないやつ腹立つわー。勝手に切り捨てて無エラーで通しておいて、いざiPhoneアプリからログインしようとしたら「パスワードが違います」とか殴り倒したくなるわー

[teppochan]

ハンゲームのIDでこれなったわー。

[momontyo]

これは困るねえ。

[ockeghem]

パスワード入力欄のmaxlengthを超えたパスワードを指定していても気づかなった利用者がmaxlengthが長くなったためにログインできなくなった

[n2s]

登録・ログイン・変更でmaxlengthが統一されてないとかときどきあって怖い / onkeypressイベントでvalue.lengthが規定超えたら警告出すとかはどうだろうか？