Scribble at 2023-08-27 13:33:55 Last modified: 2023-08-27 19:35:40

パスワードを解析するのにかかる所要時間というものは、もちろん解析手法の進展だけではなく、単純に計算機の能力やコストの変動によって、どんどん短くなっていく。したがって、この手の話をするときは、せいぜい１年か２年前以降のデータを使わないと「何言ってんだ、あんた？」ということになる。僕も、プライベートでは32桁とか64桁のパスワードを使ったりするから大きな不安はないけれど、社内で研修するときには、なるべく桁が大きくて複雑な文字種を使おうという話をするときでも、基準にする情報が古いままでは危険なことを伝えてしまうため、こういう情報は頻繁に調べている。

もちろん、新製品として続々と現れる CPU や GPU のパフォーマンスから推定できるのも確かだが、大規模に試してみたところが公表しているデータを使うのが、ひとまず妥当だろう。もし酷い計算違いなら、Hacker News を始めとする場所で笑いものになるからだ。上記のサイトで示されている基準はどうだろうか。多くの企業では、たとえば ISMS の認証を受けている企業でも（もちろん2019年までは弊社も認証を受けていた）、３年位前までは文字種が英数字で桁数は８桁以上を推奨していたと思うが、もうこれでは２分で解析されてしまう。メールに Excel シートを添付する際に、８桁のパスワードを設定しているから安全だろうと言っていたら、もはや危険である。よって、弊社のようにメールに添付する方法は禁止して、Dropbox なり Google Drive へのリンクだけを記載して、そのリソースは限られたユーザしかアクセスできないようにするという手順に変更するのが望ましい。それに、この手法ならそもそも Excel シートにパスワードを設定しなくても済む。