パスワードを“ちょっと変える”はどれくらい危ない？ 「abc123」→「123abc」など 中国チームが発表

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 中国の南開大学や北京大学などに所属する研究者らが発表した論文「Pass2Edit: A Multi-Step Generative Model for Guessing Edited Passwords」は、1つのサービスで使っているパスワードを少し変えて別のサービスで使い回しているパスワードを予測して特定する攻撃を提案した研究報告である。 インターネットでサービスを利用すると、アカウント数が増加する。一般のユーザーは、80～107個ものオンラインアカウントを持っているとされている。このような状況において、新しいパスワードを都度設定するのは

[bocuno]

定期的に変更しろと言ってくるシステムはまじで直してほしい。我が社だ！

[strawberryhunter]

20年以上完全ランダム一択でやってるのでWindowsのログインパスワード以外は何一つ覚えていない。

[mobile_neko]

90日ごとに変更みたいなルールだと最後の部分だけ変更みたいな事になりやすいよね

[sisya]

パスワードの平文がもれてしまったなら「ちょっと変える」に意味がないことは検証しなくてもわかる。逆に暗号化したパスワードが漏れただけなら、記事にある推測法は使えない。どの辺りを想定した検証記事なのか。

[sgo2]

Androidで制御出来るキータイプをエミュレートするUSBドングルがあって、PCのログインパスワードもKeePassで管理出来るらしいので欲しいと思ってたけど見失ってしまった。

[John_Kawanishi]

｢｢元のPassword｣と｢微調整したPassword｣の組み合わせを入力とし｢Passwordがどのように変わったか｣を分類｣｢100回の推測が許され目標とするPasswordが元のPasswordと異なる場合を考慮した上でPass2Editの成功率は一般Userに対し

[goronehakaba]

パスワードマネージャーも使わせず、定期変更も求められちゃー、Aa111111→aA111111とかになりがち。

[leiqunni]

「ジョー、パスワードが1文字だけなら、君は何を選ぶ？」

[habarhaba]

「48億個のパスワード」流出したデータ使ってる？なんかなぁ

[copyxxx]

指紋にしてくれ

[ardarim]

パスワード定期的に変更しろはいい加減見直してほしい。90日で過去に使ったのダメとか縛りがきついと完全ランダムにするか強度を下げて適当にするかしかなくなる

[deep_one]

結果の評価ができない。

[higgsino]

主要部分は同じでGoogleならgpass1234、Amazonならapass1234みたいに付け足すやり方も駄目ってことだな。素直にパスワードマネージャー使え

[raebchen]

なんでパスワード自動生成使わんのだ😳 なんのためにパスワード自動生成機能ついてると思ってんだ😳

[minamihiroharu]

どれくらい変えれば良いか？に対して具体的な情報がないので、あまり価値ある記事には思えなかったな。

[kz78]

いやしかし999回もパスワード間違えてロックされないシステムはちょっと条件が緩いだろう…

[tattyu]

3ヶ月で過去3回前と同じのが使えなくなる環境の時はズラしたパスワードを4日かけてローテーションさせて同じパスワードに戻してたな。後の会社では一部分が同じはダメという糞ポリシーで全然変更出来なくて泣いた。

[ciel18m]

都度新しくパスワード用意してるし、微修正するにもアナグラムみたいなことはしないなぁ。でも微修正の仕方ももう少し幅を広げてもいいのかもしれない

[totoronoki]

今まで使い古したパスワードを変える決心がつかない。すでに完璧に覚えてるので、新しいパスワードを覚えにくいのではないか、という不安がある。

[defiant]

この記事をおすすめしました

[Seamless]

既存パスワードを微調整しただけのパスワードを新規で使っている人は多い。微調整パスワードを推測する新手法Pass2Editの成功率は1000回の推測で一般ユーザに対して30.34％