質問: パスフレーズを適用するときに注意する必要がある考慮事項は何ですか? XKCD:パスワードの強度によると、パスワードが「ランダムな4つの一般的な単語」で構成されている場合は安全です。記憶に残る。 このようにしてWebアプリケーションを作成し、ユーザーにパスワードを作成させます。各パスワードは最低16文字で、より安全で覚えやすいものにするために最低4語の文である必要があります。しかし、これは攻撃者にすべてのパスワードがそのようなものであることを知らせるでしょう。これは悪い考えですか? より安全で覚えやすいパスワードを同時に強制するためのより良い方法は何ですか?
回答: しないでください、しかし、完全に安全でないパスワードを設定しようとしているユーザーに警告を与えて、彼らが本当にそれを設定したいかどうかを確認させます。 暗証番号を超えたパスワードを設定するように強制すると、パスワードを書き留めてしまうだけでなく、何気なく安全な場所に書き留めます。 また、一部の組織では、(複雑ではあるが)安全な(承認されたチーム間で)共有されたパスフレーズおよび/または(ロックと鍵の下で)事前に文書化されたパスフレーズを使用できることが望ましい。ここで煩わしさ。使用シナリオ:「このチームがXYZタイプのすべてのベンダーに使用する複雑なパスフレーズを設定してください。そうすれば、このチームの別のメンバーがあなたの不在で緊急にアクセスする必要がない場合でも面倒になりません」。