ログインアラートはパスワード定期的変更の代替となるか

パスワードの定期的的変更には実質的にはあまり意味がないのではないかという議論（疑問）から出発した議論を続けておりますが、こちらなどで表明しているように、パスワードの定期的変更が効果をもつ場合もあります。 そこで、本稿ではパスワードの定期的変更の代替手段としてログインアラートの運用に着目し、ログインアラートの運用がパスワードの定期的変更の代替となるのか、残る課題は何かについて検討します。 パスワード定期的変更の効果まとめ まず前提条件について説明します。ウェブサイトAの利用者xが自身のパスワード voc3at を定期的変更として変更する（voc3atはあくまで例です）場合、これが効果を発揮する条件と効果は、以下と考えられます。条件1と条件2はAND条件です。 条件1: パスワード voc3at が既に漏洩していて、今後悪用される可能性がある 条件2: パスワード漏洩に利用者 x は気づいてお

[boyasan]

なるほど。けっこう有効なのにあまり普及してる感はないですね

[Funyapu]

“LINEウェブストアに関しては、ログインに失敗しても通知します。”身内はこれが日に数百通きて、Naverに使わない設定をしてほしいと頼み込んだがダメで、毎日来たメールを見続ける羽目に…

[tmtms]

はてなもログイン履歴ページを用意するだけじゃなくて、アラートメール実装してくれればいいのに。

[itochan]

二要素認証でも、第三者によるログイン試行が成功すれば、メールが飛んでくる。そのメールで「オプトイン」なのが二要素認証で、放置されれば問題ないとする「オプトアウト」なのがログインアラート。　たぶん。

[masutaka26]

セッションの有効期間は長め(1年とか)にすること前提なのかな

[s99e209]

ログインアラートは完全にパスワードの定期的変更の代替にはならないものの、残るリスクは比較的軽微であり、実用上はログインアラートがあれば足りるケースが多い。

[sho]

ログインアラートを実装するときは、セッションの有効期限をうんと伸ばして欲しいな。すぐログアウトさせられるサービスだとウザすぎる。

[ymmtmdk]

定期変更は関係なく前々から導入されればいいのに思ってる。特にユーザー層がメールに敏感な若者のサービスでは有効そう。だけどフィッシングに繋がる経路になりそうという懸念も

[mumincacao]

やふぅさんから来るろぐいんあらーとは一時的にろっくできる URL も付いてていざって時に便利なのかなぁ？ ぽちったことないからどうなるのか謎だけど・・・ （ーω【みかん

[shioki]

“ログインアラート（ログイン通知とも）とは、誰か（利用者自身も含むが第三者かもしれない）がサイトにログインした際に、その旨を登録済みメールアドレスに通知する機能です”

[sin20xx]

ログインアラート+不正ログイン（認証失敗通知）があれば相当数の被害を防げると思う。まぁ、この場合は変更のトリガーの議論なんで的外れな指摘ではあるけども、攻撃者の存在の意識付けとしては相当有効だと思う