Okumura's Blog

すみません、誤解していたらごめんなさい。
ここでいう強度って、使用しているパスワードの文字列で表現できる情報量をあらわしているだけのような気がしますが・・・。

＞その中の任意の2ヶ所を数字に変えたら
＞強度はどれだけ増えるか

　英６文字と数字２文字を任意に用いた８文字パスワードという意味でしたら、英８文字より強度が落ちるのではないでしょうか。

英６文字と英数字２文字を任意に用いたなら強度はあがりますよね？

なるほど，落ちるというほうが直感的なのかもしれませんね。いずれにしても，両方のケースでの強度（「何通りのパスワードが可能か」あるいはそのlog2）を計算してみてください。

数学的な強度を満たそうとすると思ったより長い文字列(AES用128bitは英数字で22文字）が必要なのですね。
種類を増やすより、文字数を１つでも増やすべきなのですか。勉強になりました。

Rubyで計算してみました。
http://d.hatena.ne.jp/rubyco/20061220/password

英文字8文字 約45.6ビット
英文字6文字＋数字2文字 約45.7ビット
英文字6文字＋英数字2文字 約46.6ビット
英数字8文字 約47.6ビット

ありがとうございます。Rubyの勉強になりました（log2の作り方）。

パスワードの強度だけをあげても無意味な気がします。理由は２点。
１．覚えられない
２．次回から自動的に・・・を利用している
webサイトによっては、パスワードに少ない文字数の上限があったり、アルファベット以外に記号と数字を必ず何文字以上含めろとかありますが、それのせいでどこかにメモを取っておかないと忘れてしまって、認証に引っかかってログインできなくなってしまったことも。覚えられないパスワードではどんなに強度があってもダメだと思います。
それと、IDとパスワードを登録時や変更時にメールで送信してくるところもありますよね。httpsで暗号化通信したのに、平文でメールをくれては意味がないと思う次第で。

私はパスワードを覚えることはもう諦めました。メモっています。
初回やパスワードを忘れたときにメールで送られてくるものはいわゆる初期パスワードで，これですぐにログインして変更するのではないのでしょうか。それもメールで送ってくるようなシステムは屑です。

おかげで何度も痛い目にあいました。かんべんして～。

せかにゅ
の「頻繁なパスワード変更は時間の無駄？」
http://www.itmedia.co.jp/news/articles/1004/16/news058.html

で、

Study: Frequent password changes are useless
http://news.yahoo.com/s/ytech_wguy/20100413/tc_ytech_wguy/ytech_wguy_tc1590
が紹介されていました。

なるほど、目から鱗が落ちました。似たような話として、もう10年ぐらい前になるかと思いますが、どこかの大学で大規模に漏洩したパスワードを調べたところ、初期パスワードを変えずに使っている人の方が多数派だったが、実は、律儀にパスワードを変えた人は覚えやすい単語を用いるため、辞書攻撃でクラック可能なものが大部分だった、という調査がありました。つまり、普通のユーザーの場合、十分に強度の高いパスワードを生成して、封書等の非電子媒体で配達し、変更をさせない、というのがもっとも安全ということになります。さらに一般的に、パスワードに関する注意：

- メモに残さない
- 定期的な変更
- アカウントごとに変える
- 記号をいれたり長くして強度を強くする

これらを守らなかったためにクラックされた例に関する実証的な調査をぜひ知りたいところです。あるいは、Eコマースやインターネットバンキングで総当たり攻撃はどれほど試みられているか、とか。実はみんな迷信だったりして。今は、Key Chain やブラウザに覚えさせている場合が多いけれど、これの安全性、危険性もよくわかりません。

はい，実際はパスワード変更で脆弱になるようです。

メモに残さないことを強要することによって，ますます安易なパスワード，他のサービスと同じパスワードを選んでしまう傾向が増します。

定期的な変更も同様ですね。

サービスごとにパスワードを変えるのは（少なくとも怪しいサービスとネット銀行を同じパスワードにしないことは）正しいことだと思います。

記号を入れたりするのは，辞書にあることばを選ばせないという意味なのだろうと思います。