【IT】パスワード設定、記号･数字の混合を「推奨せず」 米機関が指針表明

1: 田杉山脈 ★ 2025/11/07(金) 02:05:31.07 ID:bV4bPLkT

米国立標準技術研究所（NIST）は今夏、パスワード認証の指針を約3年ぶりに更新した。記号や数字を組み合わせる設定や、ペットの名前などを尋ねる秘密の質問での本人確認を「推奨しない」と改めた。攻撃側の技術進化によって効力が薄れているためだ。企業はパスワード設定を再考する時を迎えている。

NISTのガイドラインは法的拘束力はないものの、業界標準として認識されることが多い。2017年に定期的なパスワード...
https://www.nikkei.com/article/DGXZQOUC205YN0Q5A021C2000000/

3: 名刺は切らしておりまして 2025/11/07(金) 02:26:23.41 ID:aIKNpSN5

おせーよ

7: 名刺は切らしておりまして 2025/11/07(金) 02:58:13.98 ID:ThElaOfW

じゃあどうしろと

2: 名刺は切らしておりまして 2025/11/07(金) 02:19:05.89 ID:zO2uLXp2

漢字のパスワードはあり得ない？

5: 名刺は切らしておりまして 2025/11/07(金) 02:50:42.14 ID:Ng2as/qx

>>2
漢字じゃないよねカナもだろ？
正確には日本語文字
パスワードで設定できないことはない
UTF-8の時代だから
だが　現実的にはユニコードのどこまでという話になる
日本だけに閉じてない
アラビア語からギリシャ語からヘブライ語から何から何までまで使われる可能性ある
それが文字なのか文字でないのかは一人の人間じゃわからないかもしれない
emojiだって同じレベルのものだし

今でも長いのはパスワードと言わずパスフレーズいれて？
と文章のような文字列を入れることもできる
これがそう

そしてそもそもシステムにはハッシュされた文字列が記録されてるだけでユーザーが指定した文字そのものを保管してはいない
いやそういうバカなシステムはある
昔プロバイダ決める時に聞いてみたが一社除いて全部そのままと回答されたな

49: 名刺は切らしておりまして 2025/11/07(金) 15:24:53.74 ID:PZIhVtiU

>>5
ｶﾀｶﾅならAsciiの上のほうだから行けないかな？

17: 名刺は切らしておりまして 2025/11/07(金) 06:59:36.69 ID:BAJZS24X

>>2
頑張って T CODEとかTUT CODEを覚えれば可能。
ただし、パスワードの文字列に;,./も可能な場合に限られる。

13: 名刺は切らしておりまして 2025/11/07(金) 04:43:33.94 ID:tZY48Uz9

自分で覚えて偽サイトに入力するくらいならブラウザのパスワードマネージャの方が安全なのに、
ブラウザは危険！と言ってフィッシングにかかる人間の多さ

37: 名刺は切らしておりまして 2025/11/07(金) 11:24:24.18 ID:eOZ0iXA5

>>13
フィッシング防止にはならんだろ

46: 名刺は切らしておりまして 2025/11/07(金) 14:07:44.05 ID:tZY48Uz9

>>37
ブラウザの自動入力なら人間がフィッシングを見抜けなくても偽サイトは防げるってこと
自分で覚えた人間はAmaz0nドットコムに入力して引っかかるが、
ブラウザは違うサイトに入力しない

20: 名刺は切らしておりまして 2025/11/07(金) 09:33:47.80 ID:GKrB6d95

記号を含めた複雑なパスワードが効力が薄れてるから推奨しないってｗ
じゃあもうパスワードは意味ありませんと言ってるようなもんやろこれ

23: 名刺は切らしておりまして 2025/11/07(金) 10:20:38.81 ID:X8ghRYce

>>20
実は真面目にそういうこと。

21: 名刺は切らしておりまして 2025/11/07(金) 10:12:11.65 ID:069DdfwK

あとは、指紋か、顔認証か
必ず、スマホでの一時的パスコードか

22: 名刺は切らしておりまして 2025/11/07(金) 10:18:49.02 ID:F6vwofw/

一気に生体認証必須とすればいいのに

24: 名刺は切らしておりまして 2025/11/07(金) 10:49:04.94 ID:+a3ENaaD

今は、２段階認証かパスキーだろ

26: 名刺は切らしておりまして 2025/11/07(金) 11:08:02.42 ID:hN63Q/bA

それで
代わりに
どうするの？

43: 名刺は切らしておりまして 2025/11/07(金) 12:23:56.36 ID:bLp2SJsh

>>26
設定できる最大桁数で設定

35: 名刺は切らしておりまして 2025/11/07(金) 11:22:30.17 ID:WGf7vYxM

短いと総当り解析もすぐだし、ユーザーも覚えられるから同じの使い回しにしがちなので、15文字以上にしなさいって話

38: 名刺は切らしておりまして 2025/11/07(金) 11:38:57.08 ID:ARpDCewq

もっと周知されて欲しい事実だな

40: 名刺は切らしておりまして 2025/11/07(金) 11:58:57.56 ID:Bo8XeCxG

大切なサイトは二段階認証かパスキー必須だと思うが
どうでもいいようなサイトは複雑なパスワードさえ必要ない

41: 名刺は切らしておりまして 2025/11/07(金) 12:18:12.48 ID:+npdBfiZ

確率の問題　PINが一番
桁数だけの話

47: 名刺は切らしておりまして 2025/11/07(金) 14:44:33.89 ID:C27A7AYK

記号を強制するのに、使える記号が限られてるのはイラッと来るな

48: 名刺は切らしておりまして 2025/11/07(金) 15:23:11.39 ID:PZIhVtiU

>>47
記号入れろってサイトがあったり
記号入らないやつもあったり
制限もいろいろで困るよな

45: 名刺は切らしておりまして 2025/11/07(金) 13:43:37.77 ID:d89f1MHb

もうパスワードガイドラインの域の話じゃねー。
パスワードを日本語許可にしたらだいぶ効果上がると思う。

引用元:https://egg.5ch.net/test/read.cgi/bizplus/1762448731/

キオクシア KIOXIA 内蔵 SSD 2TB NVMe M.2 Type 2280 PCIe Gen 5.0×4(最大読込: 10,000MB/s) 国産BiCS FLASH TLC搭載 国内正規代理店5年保証 EXCERIA PLUS G4 SSD-CK2.0N5PLG4N【国内正規代理店保証品】

キオクシア(KIOXIA)

Comments

[1. 名無しのPCパーツ]

ちなみにSMS認証も成りすませるようになってしまったのでメール認証の方が相対的に強力になっているという

[2. 名無しのPCパーツ]

ランダムな文字列が良いよって事？

[3. 名無しのPCパーツ]

ほなどないせえと…(´・ω・｀)

[4. 名無しのPCパーツ]

今はパスワードよりパスキー
パスキーなら物理デバイスが盗まれるなり遠隔操作されない限りは大丈夫

[5. 名無しのPCパーツ]

パスワードを日本語可にするなら伏せるのをやめて常時表示をデフォにしないとサポセンがパンクするな

[6. 名無しのPCパーツ]

面倒くさいけど指紋とかの物理に頼るしかないんかね

[7. 名無しのPCパーツ]

そこでネット端末遺伝子ですよ

[8. 名無しのPCパーツ]

普通に二段階認証導入したほうが良い
二段階認証ならパスワード漏れても不正ログインできん

[9. 名無しのPCパーツ]

記号などを強制しても「Password1!」みたいな覚えやすいのを設定する人が多いから、無理して記号などを入れるより文字数が長い＋辞書にないワードの方が安全って話

[10. 名無しのPCパーツ]

>>6
物理は物理でセンサーの問題がある。
メーカーや型番によって得られる値が変わるので、同じメーカーかつ同じ型番のセンサーでチェックしないと認証できない。

[11. 名無しのPCパーツ]

日本語の自動パスワード生成アプリとか良いね

[12. 名無しのPCパーツ]

SMSとメールの二段階認証は面倒なのでパスキーに統一されてほしい

[13. 名無しのPCパーツ]

chromeに覚えさせても、Safariじゃ覚えてません、
メールから開いたら覚えてません、アプリから開いたら覚えてません、機種変したら覚えてません
もうね…特にアプリ

[14. 名無しのPCパーツ]

>>9
でも辞書に載ってないワードをつかうのは難しいで循環するというね。
根本的にはパスキーという名のパスワードマネージャー使えっていう話なんだけど、それはそれでインターネットに繋がってる基盤にしか使えないって根本問題があってクローズドネットワークでどないすんねんというのはどうしても残る。
ゼロトラストをやろうとするとどこかをトラストしないと境界ネットワークが気持ち悪くなる問題は永遠に解決しない。

[15. 名無しのPCパーツ]

そもそもログインにパスワードってのがもう古いだろ
普通に生体認証でのパスキーが主流になってきてるしな
パスワード入力って考えてみると、PCログインするときくらいじゃね？

[16. 名無しのPCパーツ]

>>13
アプリ側は覚えんでええよ、てかブラウザはたぶん世界中のパスワード蒐集してるだろな……記憶させないの選択肢を選んでも内部処理は記憶させてたりしてさ……

[17. 名無しのPCパーツ]

円周率の数値にしようとしたけどまだ入力が終わらない

[18. 名無しのPCパーツ]

顔認証やるところ増えたけど、双子だと顔認証通るし、なんなら他人でも公開されてる当人の顔写真で通ってしまうんだよね

[19. 名無しのPCパーツ]

記号や数字入れろってなるとある程度同じようなパターンになりがちではある

[20. 名無しのPCパーツ]

具体的な例が無いので判断付かないが
「任意の文字列+記号、数字」は意味が無いという話かな
この手は以前から辞書攻撃で無効化されてるので、今更の話ですね
簡単に自動生成出来るから回数制限が無ければ
辞書攻撃+総当たり攻撃するだけなので攻撃手法としては簡単なのよね
スパムメール業者もメールアドレスを辞書攻撃と同じ方法で
自動生成して送り付けてるんで一般的な手法です
届かないメールアドレスはメールデーモンで判断できるから
生きてるメールアドレスの特定は容易
後は名簿化してばら撒けば良いから、そりゃスパムだらけになりますよ

[21. 名無しのPCパーツ]

もう中国人根絶しかないよ定期

[22. 名無しのPCパーツ]

>>21
こういうのやるのは旧ソビエト圏なのよ…

[23. 名無しのPCパーツ]

ぶっちゃけWebでゴリ押しで突破なんかできない
アクセス制限に引っ掛かる
他人にアクセスされる時は大抵パスワード自体が漏洩してるから意味が無いというのはある

[24. 名無しのPCパーツ]

とりあえずめちゃくちゃIDとバスワード入力してそれ違ってますよと返ってくるか確認してるわ
バスワードはランダムに生成した文字列を付箋紙にメモ
いちおう気休めにはなる

[25. 名無しのPCパーツ]

米22
大昔だけどスパムメール業者の潜伏先が東欧だったっけ
国際的なチームで摘発して潰してた覚え
仮想化してるのか物理的にサーバーを接収する話聞かなくなったが
今もあの周辺で活動してる奴らは多そう

[26. 名無しのPCパーツ]

>>23
Webだと良くあるのが中途半端な実装になっててパスワードチャレンジ自体は裏のAPI用の知ってればいくらでもできるケース
規定回数超えたときにパスワードが間違ってる場合とパスワードは合っているがロックがかかってる場合でエラーコードが異なるとそれだけで突破できる。そして意外とそんな実装が多い
規定回数のリクエストをしたIPアドレスでブロックするのはCGNATのおかげで携帯電話網を中心に難しくなったし、botnetで回避可能な時点で実質無効なのも付け加えておく

[27. 名無しのPCパーツ]

文字種混在を強制するということは、設定できるパターンが少なくなるわけだから普通に考えたら脆弱なんだよな
システムで弾くのは辞書に載ってるパスワードだけでいい

[28. 名無しのPCパーツ]

>>14
オフラインではTOTPでいいだろ
汎用のアプリもある

[29. 名無しのPCパーツ]

zipは25年前から漢字パスワードできるのに

[30. 名無しのPCパーツ]

>>28
TOTPはメジャーどころが最近1アカウントで複数デバイスで同期できるようになっちゃったんで一気に効果が薄れた
昔ながらのRSAのハードウェアキーぐらいしか残ってないんだけど、それはそれで昔ながらのソーシャルハッキングが捗るっていう

[31. 名無しのPCパーツ]

テキトーな英単語３つ繋げれば手軽に最強のパスワード作れるけど、なんかもう文字列で認証っていう行為そのものが脆弱性というか、限界が来てるように思える

[32. 名無しのPCパーツ]

そこで肛門のシワ認証ですよ

[33. 名無しのPCパーツ]

「健康と美容のために食後に一杯の紅茶」「ロシアンティーを一杯。 ジャムではなくママレードでもなく蜂蜜で」

[34. 名無しのPCパーツ]

>>27
でも”辞書の組み合わせの総当たり”よりかはベストケースだと文字数混在の方が強かったりする
ただしほとんどにおいてベストケースにならないから今回の勧告出てるんだけどね
実際うちの場合、上位権限アカウントでは15文字以上全ての文字種で且つ途中でも辞書にある文字列は弾く仕様にしてるからめっちゃランダムにはできてるけど、覚えるのは無理なので毎回関係ないデバイスで50個以上生成して印刷して場所で覚えてる

[35. 名無しのPCパーツ]

>>20
そこそこの長さの文字、記号、数字のランダムな組み合わせよりも
設定できる文字数最大の覚えられる文章の方が強力って話
設定できる文字数最大のランダムな羅列だと人間が覚えられないので逆にリスクがある

[36. 名無しのPCパーツ]

> 31
文字列で認証というより
サーバーが認証するってのが限界なのよね

[37. 名無しのPCパーツ]

スマホに電子証明書でも追加しろ

[38. 名無しのPCパーツ]

付箋に書いておいたら
Lとiと1が分からなくなったでござる

[39. 名無しのPCパーツ]

>>3

吉本新喜劇でネタあるやん😑

「おじゃまします、か？」とか話の筋立て折るやつ

そんなのPWに混ぜろとか…ちゃう、か？

[40. 名無しのPCパーツ]

>>36
でもラストリゾートとしてはサーバーが直接認証する手段がないと実用性がないのが本当の意味での限界

[41. 名無しのPCパーツ]

セキュリティ詳しいニキたち凄い

[42. 名無しのPCパーツ]

パスワードを定期的に変えるより長いパスフレーズ使い続ける方がいいみたいなアレか

[43. 名無しのPCパーツ]

>>23
と思うじゃん？
そうなってない所がいまだにあるんだよ
そこで突破出来たIDとパスワードを使って今度は別のサービスにログイン仕掛ける
パスワード使い回してたらそれでアウト（世の中の大半は使い回してる）
と、昔どこかで聞いた記憶がある

[44. 名無しのPCパーツ]

大文字小文字記号混ざりは人が想像できないってだけで機械的には検索に大差ないってこと？

[45. 名無しのPCパーツ]

>日本語ok
斉藤→✕
斎藤→✕
齊藤→✕
齋藤→✕
齋籐→◯

発狂

[46. 名無しのPCパーツ]

>>38
大とか小とかルビとか追記が必要わね

[47. 名無しのPCパーツ]

とりあえず外国アクセスを弾けば？

[48. 名無しのPCパーツ]

>>47
日々IP範囲変わってるし、日本のユーザーはじくのがオチだぞ

[49. 名無しのPCパーツ]

意識・知識の差がありすぎて、まとめサイトで扱うには役不足。

６０歳のIT系経歴じゃない男性なんて、ほとんどパスワードについて有益な知識持ってない。平成初期ぐらいで止まってる。そういう人もまとめサイトは堂々と書き込める。
たちが悪い。

[50. 名無しのPCパーツ]

セキュリティ業界団体の仕掛け

[51. 名無しのPCパーツ]

原文には
「記号や数字を組み合わせること」がダメじゃなくて、
「記号や数字を組み合わせることをユーザに強制すること」がダメ。

日経新聞のレベルが低すぎる

[52. 名無しのPCパーツ]

ここにも「役不足」本来の意味を取り違えてそうなのが

[53. 名無しのPCパーツ]

もうパスワードはパスキーと二段階しか推奨できんやろね
>>51
ほんこれ
面倒な事を人間に任せると結局最後は、推測されやすいような短い簡単なパスワードになるって事（定期的なパス強制変更も同じになる）
同じランダムな文字数なら混在の方がセキュリティ高いに決まってる

[54. 名無しのPCパーツ]

新聞記事の最初のほうしか出てないけど後半は何て書いてあるのかな
それを教えてほしいよ

あと通販サイトでIDをメールアドレスにするのもやめてほしいよ
偽メールを送ってくれと言っているようなものだもの

[55. 名無しのPCパーツ]

私はスーパーハカーです！
あなたのパスワードは1145141919810ですね！

[56. 名無しのPCパーツ]

顔文字入れておじさん構文にしろ

[57. 名無しのPCパーツ]

アルファベット26文字に記号10文字入れたところで
8文字パスワードだと36^8にしかなら無いからな
それより26^9の方がよっぽど大きい

総当たりで回されるのなら当然パターン多い方が頑丈なので
人間が覚えられるフレーズでいいから長い文章の方がよっぽど
パスワード強度上
むしろ記号増やしたから8桁のままのシステム継続とか
やられた方が脆弱性引き継いで危ない

[58. 名無しのPCパーツ]

>>15
PCもだろ
ATMぐらいでは

[59. 名無しのPCパーツ]

フェリカのICカードで認証要求するくせに桁数多い混在パスワードを入力させるな！

[60. 名無しのPCパーツ]

英数字だけ使う。大文字小文字、記号は使わない
阿呆相手だと入れなくなったり、妙な所がホールになるから

[61. 名無しのPCパーツ]

>>57
ただ辞書に載ってる単語になってると何文字であっても一気に組み合わせ数減るからな、そこを忘れるな

[62. 名無しのPCパーツ]

>>59
多要素認証なんだからパスワードに置き換わるもんじゃないんだ

[63. 名無しのPCパーツ]

漢字とかは文字コード無視とかで出来んのかな
入力する方はjisて漢字入れるけど判定する側はバイナリで処理とか

[64. 名無しのPCパーツ]

漢字可にすれば外国からの攻撃はシャットアウト出来るんじゃない？

[65. 名無しのPCパーツ]

3回間違えたらロックしてたら総当たりできないんじゃないの？

[66. 名無しのPCパーツ]

ログイン時に確認メール飛ばすやつ入れてると安心感はあるが、それを無効にされるならもうユーザーができる努力ないわ

[67. 名無しのPCパーツ]

>>64
漢字だと漢字圏の人もいるから、ここは日本ローカル文字のカタカナをパスワードOKにすれば良いんじゃね
クリリンってパスワードにすれば、海外からのハッカーはクソソソって入力するんじゃね

[68. 名無しのPCパーツ]

>>64
ASCIIですらフォントによって1,I,lの区別が難しいというのに、2バイト文字を許可したらエライことになる気がする。

[69. 名無しのPCパーツ]

要するに複雑にしてもセキュリティを高める効果は薄れつつあるから、単純なパスワードで使い回さない(複雑だとめんどくさがって使い回すので)とかこまめに変えるとか、丁寧な運用の方がトータルで安全ということなんじゃないかな

[70. 名無しのPCパーツ]

>>65
ロックしてても間違ってることを伝えちゃうフロントエンドだとしたら?

[71. 名無しのPCパーツ]

＞複雑な組み合わせを求められると、多くの人は覚えやすいようにかえって単純なパスワードを使い回すため効果が薄まるということです。

推奨しない理由がこれ
記号･数字の混合したほうが強固になるのは自明なので意識高いお前らは今まで通り長くて混合したパスでおｋ

[72. 名無しのPCパーツ]

昔は結構2byte文字設定できるとこあったけど
最近設定できた試しないわ

[73. 名無しのPCパーツ]

もうパスキーも標準化が進んできているし今更パスワードの事でうだうだ言っても仕方ないじゃあないですか

とはいえ、先日BIOSの更新したらTPMの更新も必要になって、すべてのパスキーが無効になって、パスキーを一旦解除するためにパスワードが必要になったからパスワードが不要ということではないんだよね
その時、TPMのせいでパソコンもパスキー連携アカウント（全財産）も全て失う可能性が頭をよぎった。PC素人は絶対に混乱するよ。

[74. 名無しのPCパーツ]

昔たまに日本語パスワード入力OKなところあったけどああいうの普及すれば日本の被害は減りそうなんだがなぁ英数字よりはるかに複雑やろ
伊達にアメリカの外交官が圧倒的に一番苦労した言語じゃねーｗｗ

[75. 名無しのPCパーツ]

みんな考えることは一緒で9割の人は頭か後ろに！いれて大文字アルファベットもそう
逆に推測しやすいんやろな

[76. 名無しのPCパーツ]

さてはアメリカの司法機関がハックしやすくするためだな