第18回 迷惑メール対策カンファレンス メール対策カンファレンス 対策カンファレンス カンファレンス × JPAAWG
A9 パネル対策カンファレンス ディスカッション
A9 Panel Discussion

トピック2: パスワードの定期変更問題の定期変更問題定期変更問題
Topic 2: Periodic password changes issue

株式会社インターネットイニシアティブ インターネットイニシアティブ (IIJ)IIJ)
ネットワーク本部 アプリケーションサービス部
古賀 勇 (IIJ)Isamu Koga)©Internet Initiative Japan Inc.

‐1‐

議論に入るまえにに入るまえに入るまえにるまえに入るまえにみなさんの定期変更問題社インターネットイニシアティブ 内システム、パスワードは定期変更必須ですかシステム、パスワードの定期変更問題は定期変更必須ですか定期変更必須ですかですか ?
Is it nessesary to change the password periodically for yoursystem that you use?

https://www.howtogeek.com/187645/htg-explains-should-you-regularly-change-your-passwords/©Internet Initiative Japan Inc.

‐2‐

アメリカ国立標準技術研究所 (IIJ)NIST)●●NIST SP800-63: Digital Identity Guidelines▶
https://pages.nist.gov/800-63-3/▶
2017/06 に入るまえに認証に関するガイドラインを発行に入るまえに関するガイドラインを発行するガイドの定期変更問題ラインを発行発行
認証に関するガイドラインを発行管理のありかたが明記されたことに注目を浴びるの定期変更問題ありかたが明記されたことに注目を浴びる明記されたことに注目を浴びるされたことに入るまえに注目を浴びるを発行浴びるびる▶
NIST SP800-63B: Authentication and Lifecycle Management▶
5.1.1.2 Memorized Secret Verifiers▶
メディアで「パスワード定期パスワードの定期変更問題定期変更不要」と大きく報じられるきく報じられる報じられるじられる©Internet Initiative Japan Inc.

‐3‐

大きく報じられるきく報じられる報じられる道された された NIST の定期変更問題原文はココは定期変更必須ですかココ
NIST sentence point of which it has been widely reported by mass media

5.1.1.2 Memorized Secret Verifiers (IIJ) 抜粋 )Verifiers SHOULD NOT impose other composition rules (IIJ)e.g., requiring mixturesof different character types or prohibiting consecutively repeated characters)
for memorized secrets. Verifiers SHOULD NOT require memorized secrets to bechanged arbitrarily (IIJ)e.g., periodically). However, verifiers SHALL force a change
if there is evidence of compromise of the authenticator.

●

生成ルールを強制ル対策カンファレンス ール対策カンファレンス を発行強制しないの定期変更問題が明記されたことに注目を浴びる望ましいましい (IIJ)SHOULD NOT)●

変更タイミングを強制を発行強制しないの定期変更問題が明記されたことに注目を浴びる望ましいましい (IIJ)SHOULD NOT)●

しかし、盗用された証拠がある場合は変更を強制すべき された証に関するガイドラインを発行拠がある場合は変更を強制すべき が明記されたことに注目を浴びるある場合は変更を強制すべき は定期変更必須ですか変更を発行強制すべき (IIJ)SHALL)©Internet Initiative Japan Inc.

‐4‐

パスワードの定期変更問題の定期変更問題定期変更に入るまえにまつわる文はココ献
Standards concerning periodic password changes
組織表現

文はココ書

最終更新日

内システム、パスワードは定期変更必須ですか閣サイバーサイバー
セキュリティセンター

パスワードの定期変更問題の定期変更問題定期変更は定期変更必須ですか必要なし。
流出時は速やかに変更する。は定期変更必須ですか速やかに変更する。やかに入るまえに変更する。

ネットワークビギナーの定期変更問題ための定期変更問題情報じられるセキュリティハンドの定期変更問題ブック
https://www.nisc.go.jp/security-site/handbook/2017/12

定期的な変更不要…な変更不要…(IIJ)略)…定期的な変更不要…に入るまえに変更するよりも、機器やサービスのやサービスの定期変更問題
間で使い回しのない、固有のパスで使い回しのない、固有のパスい回しの定期変更問題ない、固有のパスの定期変更問題パス
ワードの定期変更問題を発行設定することが明記されたことに注目を浴びる求められまめられます。

国民のための情報セキュリティサイトの定期変更問題ための定期変更問題情報じられるセキュリティサイト
http://www.soumu.go.jp/main_sosiki/joho_tsusin/
security/business/staff/01.html

2018/039.4.3.5 パスワードの定期変更問題の定期変更問題管理のありかたが明記されたことに注目を浴びるシステムでは定期変更必須ですか、パスワードの定期変更問題は定期変更必須ですか、定期的な変更不要…に入るまえに及び必び必要に入るまえに応じて変更じて変更変更させるように入るまえにする。

情報じられるセキュリティ管理のありかたが明記されたことに注目を浴びる基準http://www.meti.go.jp/policy/netsecurity/iskansa/

2018/03e)パスワードの定期変更問題は定期変更必須ですか，定期的な変更不要…に入るまえに及び必び必要に入るまえに応じて変更じて変更変更させるように入るまえにする。

JIS Q 27002:2014 報じられる技術－セキュリティ技術－情報セキュリティ技術－セキュリティ技術－情報情報じられる
セキュリティ管理のありかたが明記されたことに注目を浴びる策カンファレンス の定期変更問題実践のための規範の定期変更問題ための定期変更問題規範
http://www.jisc.go.jp/

2014/03

プライバシーマーク

漏えいしたパスワードは、速やかにえいしたパスワードの定期変更問題は定期変更必須ですか、速やかに変更する。やかに入るまえに変更することを発行求められまめて変更いる。

JIS Q 15001:2006 を発行ベースに入るまえにした個人情報じられる保護マネマネ
ジメントシステム実施のためのガイドライン 第の定期変更問題ための定期変更問題ガイドの定期変更問題ライン 第2版
https://privacymark.jp/system/guideline/
outline.html

2018/04

PCI DSS8.2.4 ユーザパスワードの定期変更問題/パスフレー
ズは、は定期変更必須ですか、少なくともなく報じられるとも1回は定期変更必須ですか90日ごと変更する。

PCI DSS v3.2.1
https://ja.pcisecuritystandards.org/minisite/env2/

2018/05(IIJ)NISC)

総務省(IIJ)Ministry of Internal
Affairs andCommunications)

経済産業省(IIJ)Ministry of Economy,
Trade and Industry)JIS(IIJ)Japanese IndustrialStandards)(IIJ)Privacy Mark System)(IIJ)Payment Card Industry
Data Security Standard)©Internet Initiative Japan Inc.

‐5‐パスワードの定期変更問題の定期変更問題定期変更に入るまえにまつわる規定・参照元
Regulations and references regarding periodic password changes
20062014

2013

2016

海外Foreigncountries

ISO/IEC
27002:2013

20172018

NIST
SP800-63B

PCI DSSv3.2.1NISC

Cyber security centerof Japanesecabinet office

言及び必

総務省

言及び必

Ministry of Internal
Affairs andCommunications

Japanese IndustrialStandards

経済産業省

Ministry of Economy,
Trade and Industry

JIS Q
15001:2006

ネットワークビギナーの定期変更問題
ための定期変更問題情報じられるセキュリティ
ハンドの定期変更問題ブック

国民のための情報セキュリティサイトの定期変更問題ための定期変更問題情報じられる
セキュリティサイト
Information security website forcitizens

対応じて変更JIS

Information security handbook for
network beginners

JIS Q
27002:2014
Management standard
for information security参照

情報じられるセキュリティ
管理のありかたが明記されたことに注目を浴びる基準

JIPDECPrivacy Mark System参照

Japan Information
Processing andDevelopment Center©Internet Initiative Japan Inc.

プライバシーマーク‐6‐他にも色々書いてあるに入るまえにも色々書いて変更ある
Source text from NIST (IIJ)abstract)

5.1.1.1 Memorized Secret Authenticators
Memorized secrets SHALL be at least 8 characters in length if chosen by the subscriber. Memorized secrets chosen randomly by the CSP or verifier SHALL beat least 6 characters in length and MAY be entirely numeric. If the CSP or verifi
er disallows a chosen memorized secret based on its appearance on a blacklist of compromised values, the subscriber SHALL be required to choose a different
memorized secret. No other complexity requirements for memorized secrets SH
OULD be imposed.

●●

ユーザが明記されたことに注目を浴びる設定する場合は変更を強制すべき は定期変更必須ですか最低 8 文はココ字とすべきとすべき (IIJ)SHALL)
管理のありかたが明記されたことに注目を浴びる者がランダムに設定する場合はが明記されたことに注目を浴びるランダムに入るまえに設定する場合は変更を強制すべき は定期変更必須ですか最低 6 文はココ字とすべきとすべき (IIJ)SHALL)
全部数字とすべきでも良いい (IIJ)MAY)●

過去悪用された証拠がある場合は変更を強制すべき されたもの定期変更問題だった場合は変更を強制すべき は定期変更必須ですか別の文字列にの定期変更問題文はココ字とすべき列にに入るまえにすべき (IIJ)SHALL)●

他にも色々書いてあるに入るまえに複雑さを要求するのはさを発行要求められまするの定期変更問題は定期変更必須ですか望ましいましく報じられるない (IIJ)No 〜 SHOULD)©Internet Initiative Japan Inc.

‐7‐

ただしHowever,©Internet Initiative Japan Inc.

‐8‐

報じられる道された された 5.1.1.2 章には続きがあるに入るまえには定期変更必須ですか続きがあるきが明記されたことに注目を浴びるあるThe chapter 5.1.1.2 which was reported continues ...

5.1.1.2 Memorized Secret Verifiers (IIJ)cont.)
Memorized secret verifiers SHALL NOT permit the subscriber to store a “hint” that is accessible to an u
nauthenticated claimant. Verifiers SHALL NOT prompt subscribers to use specific types of information(IIJ)e.g., “What was the name of your first pet?”) when choosing memorized secrets. When processing requests to establish and change memorized secrets, verifiers SHALL compare the prospective secrets again
st a list that contains values known to be commonly-used, expected, or compromised. For example, the list MAY include, but is not limited to:●●●●

Passwords obtained from previous breach corpuses.
Dictionary words.
Repetitive or sequential characters (IIJ)e.g. ‘aaaaaa’, ‘1234abcd’).
Context-specific words, such as the name of the service, the username, and derivatives thereof.

Verifiers SHALL implement a rate-limiting mechanism that effectively limits the number of failed authentication attempts that can be made on the subscriber’s account as described in Section 5.2.2.
(IIJ)abbr.)
Verifiers SHOULD permit claimants to use “paste” functionality when entering a memorized secret. Thisfacilitates the use of password managers, which are widely used and in many cases increase the likelihood that users will choose stronger memorized secrets.
(IIJ)abbr.)
The salt SHALL be at least 32 bits in length and be chosen arbitrarily so as to minimize salt value collisi
ons among stored hashes.
©Internet Initiative Japan Inc.

‐9‐報じられる道された された 5.1.1.2 章には続きがあるに入るまえには定期変更必須ですか続きがあるきが明記されたことに注目を浴びるあるThe chapter 5.1.1.2 which was reported continues ... (IIJ)abstract)

5.1.1.2 Memorized Secret Verifiers (IIJ) 続きがあるき・一部抜粋 )●認証に関するガイドラインを発行前にに入るまえにヒントを発行与えるべきでないえるべきでない (IIJ)SHALL NOT)●

秘密の質問に関する特定の情報の定期変更問題質問に入るまえに関するガイドラインを発行する特定の定期変更問題情報じられるを発行与えるべきでないえるべきでない (IIJ)SHALL NOT)●

よく報じられる使い回しのない、固有のパスわれる言葉・想定される言葉の定期変更問題リストと比較し、以下のようなもし、以下のようなもの定期変更問題ようなもの定期変更問題は定期変更必須ですか制限すべきすべき (IIJ)SHALL)–

過去盗用された証拠がある場合は変更を強制すべき されたもの定期変更問題–

辞書に入るまえに載っている単語って変更いる単語–

繰り返しに連続性のあるものり返しに連続性のあるものしに入るまえに連続きがある性のあるものの定期変更問題あるもの定期変更問題–

サービス名など特定の名称・ユーザ名・それらに似た言葉など特定の名称・ユーザ名・それらに似た言葉特定の定期変更問題名など特定の名称・ユーザ名・それらに似た言葉称・ユーザ名など特定の名称・ユーザ名・それらに似た言葉・それらに入るまえに似た言葉た言葉●

認証に関するガイドラインを発行失敗回数に入るまえによる制限すべきを発行実装すべきすべき (IIJ)SHALL)●

コピー & ペーストを発行許可することが望ましいすることが明記されたことに注目を浴びる望ましいましい (IIJ)SHOULD)●

オフライン攻撃に備えるために入るまえに備えるためえるため salt は定期変更必須ですか、最低 32 ビットで一方向ハッハッ
シュ化すべき (IIJ)SHALL)...など特定の名称・ユーザ名・それらに似た言葉など特定の名称・ユーザ名・それらに似た言葉、他にも色々書いてあるに入るまえにも様々なシステムへの定期変更問題要求められまが明記されたことに注目を浴びる前に提として書いてあるとして変更書いて変更ある©Internet Initiative Japan Inc.

‐ 10 ‐

ディスカッションテーマ 1
Discussion 1●

社インターネットイニシアティブ 内システム、パスワードは定期変更必須ですかシステムや所属している組織でパスワード定期変更を止して変更いる組織でパスワードの定期変更問題定期変更を発行止める動きはありますかきは定期変更必須ですかありますか?
Are there any moves to stop periodic password changes
in internal systems or organizations that belong to?

©Internet Initiative Japan Inc.

‐ 11 ‐

ディスカッションテーマ 2
Discussion 2●

そもそもパスワードの定期変更問題を発行定期的な変更不要…に入るまえに変更したほうが明記されたことに注目を浴びる良いい根拠がある場合は変更を強制すべき とは定期変更必須ですか?
At all, why is it necessary that you change the password
periodically?

©Internet Initiative Japan Inc.

‐ 12 ‐

ディスカッションテーマ 3
Discussion 3●

二要素認証に関するガイドラインを発行対応じて変更への定期変更問題課題とは定期変更必須ですか?
What is a concern about two-factor authentication?

©Internet Initiative Japan Inc.

‐ 13 ‐

©Internet Initiative Japan Inc.

‐ 14 ‐