OCN、パスワード定期的変更しない利用者、ログイン制限へ

awamori @awamori_tt

OCNから利用者宛てに「メールサービスのパスワードを定期変更しないと一定期間、接続制限するぞ」というメールが来た

しの @SH1N0

OCNメールアドレス（OCN ID）のパスワード変更のお願いについて ocn.ne.jp/info/announce/… とうとうパスワードを定期変更しないとサービスを使わせないって所が出てきた。

野中栄一 @a1nonaka

せっかくパスワードの使い回しをしない方法で管理しているのに、パスワード定期変更しないとログイン制限とかやめて頂きたい。 ／ OCNメールアドレス（OCN ID）のパスワード変更のお願いについて ｜ OCN #OCN ocn.ne.jp/info/announce/…

21century.po @21century_po

ocn.ne.jp/info/announce/… OCNメールのパスワード定期変更が義務付けられた件ですが、そんなことより無暗号POP/SMTP AUTHがいまだに廃止されていない点で（´・ω）これ今でも使ってる人いそうですよね ocn.ne.jp/info/announce/…

徳丸 浩 @ockeghem

OCNさん、メールアドレスのパスワードは定期的に変更するようにとのことだけど、インターネット接続用のパスワードは定期的変更を求めないのだろうか?

zcam @zcam

OCNからパスワード定期的に変更しろ、さもなければログイン制限だ。という脅迫めいたメールが届いたんだけどこれマジ？

zcam @zcam

昨日の、OCNから一定期間でパスワード変えないとログイン制限かけるよ？に質問して回答が来た。Q: 一定期間ってどのぐらい？ A: 現時点では未定。決まったらアナウンスする。 なお一般的に１〜3ヶ月が目安。お客様の判断で。

zcam @zcam

続き、Q: OCNでは一定期間で破られるって意味なの？ A:漏洩の事実はないが、被害の未然防止のため。 パスワード定期的に変えると未然防止出来るの？？

zcam @zcam

ということで追加の質問。定期変更で被害が未然に防げる仕組みを教えてください。あと一般論では無くて、システムを運用しているOCNの妥当とする期間をお答えください。

zcam @zcam

OCNから2日待って回答。さらなる安全のため定期的な変更をお願いしています。あれー？パスワードを定期的に変えても安全性増さない気がするんだけど上がる仕組みって何ですか？って聞いたのに答えになってない。質問に対する答えになってませんと返すべきかな。

zcam @zcam

期間については回答が得られてた。前回は一般論で１〜３ヶ月で変更。今回は6ヶ月を予定しているとのこと。ただし適宜変更されることがある。

zcam @zcam

再質問。なんで定期変更が有効なのか教えてね(意訳)

赤木智弘＠大阪万博セルフ出禁 @T_akagi

「定期的にパスワード変えろ」ってのは、ただの根性論であることに、気づいた方がいい。：OCNメールアドレス（OCN ID）のパスワード変更のお願いについて ｜ OCN ocn.ne.jp/info/announce/…

zcam @zcam

RTとFav受けてますので、OCNの件一応現状報告。答えになってなかったので再質問したが、担当部署確認中で回答は25日以降になるとのこと。日頃はケンタがあんまり美味しくなかったとかわりとどうでも良い事しか呟いてませんので、OCN関連追ってる人は火曜以降にご確認ください。

zcam @zcam

今日もOCNから返答無し。25日以降って言われたから間違いでは無いんだけど、来月に持ち越すなら今月中には答えられないぐらいの通知ほしかったな。

zcam @zcam

と思ったらOCNから返事来た。華金のこの時間までお仕事なのね、お疲れ様です。

zcam @zcam

さて、内容ですが要約すると、セキュリティ知識が豊富な客が居る一方で、パスワード一度も変更していない人、推測しやすい簡単なパスワードを設定してる人もいる。だからOCN ID利用者全員にお願いメールを出した。ということだそうだ。

zcam @zcam

推測しやすいパスワードにしている人に定期変更させて推測しにくいパスワードになるのか？という疑問。一度も変更してない人はOCN加入時にランダムに設定された文字列だろうからかえって安全なのでは？という疑問。

zcam @zcam

それらに対応する(対応になってない気がするが)ために、全ユーザにパスワードの定期変更を要求するのか？という疑問。

zcam @zcam

余談。「お客様のようにセキュリティ知識が豊富な人」とおだてられたが、セキュリティは専門外(情報処理技術者試験のために勉強した程度)。素人でも疑問に思う程度なので専門家はぶち切れるレベルかもしれない。それはRTやFavくれた方々にお任せ。

zcam @zcam

とりあえず、先ほどあげた疑問を質問しておこう。

zcam @zcam

再質問しました。結局OCNは一部の使い回しユーザ等に対応するために全ユーザに定期変更を迫るの？「定期的」に変える事に意味無いと思うんだけどどうなの？強度に制限つけて1発変えさせるだけの方がまだ現実的じゃ無い？程度の事を聞いてます。おそらく返信は来月まで無いと思います。

zcam @zcam

OCNからの回答。Q:結局パスワード強度が十分で無い人に対応するためだけに全ユーザに定期変更を強制するの？ A: その認識であってる。時期は確定していないがOCNログイン制限も実施（前回の質問で6ヶ月後ぐらいを予定と言っていた）

zcam @zcam

続き。 Q: 「定期変更」はセキュリティ強化に繋がらないのでは？ A: 定期変更で強度の低いパスワードが使われ続ける事を防げる。他社漏洩時に被害の危険性がいくらかでも減るので意味がある。