質問: パスワードの英数字混在化必須について いつ頃からか、サービスへのログイン時のパスワードに使用する文字について、セキュリティ強化の一環として英数字混在化を必須とするシステムを目にするようになりました。 単純に組み合わせパターン数だけで考えると、混在必須とすると小さくなってしまう気がするのですが、間違ってますか?(パターン数の求め方に自信がなくて・・・ ^^;) もし合ってるなら、わざわざこのような制限を設ける実際的な意味はあるのでしょうか? (確かに「人間にとっては」より「想像しにくくなる」気はしますが・・・)
回答: #2さんの通りですが、ご質問は[混在可]よりも[混在必須]の方がパターン数が少ないのではないかということでしょうか? その通りです。 2文字の例だと260パターンしかありません。 でもパスワードは基本的に記憶すべきもので、人は英単語、名前、日付、電話番号を使ってしまいがちです。 システムでそれが推測しやすいパスワードなのかを判定するのは難しく、例えば子供の名前を使った場合、正確にはその人の家族構成が分かっていないと出来ません。 パターン数を犠牲にしても混在必須の方が、推測されにくいものになるという訳です。 勿論、最低入力文字数を多くすれば、パターン数は確保出来ますので。