Scribble at 2018-11-22 10:24:34 Last modified: 2022-09-28 17:14:41

DELLのサイトでユーザアカウントのパスワードを更新しようとしたら、文字種の条件を満たしていてもパスワードが再設定できない（画面に表示されている文字列は設定できなかったので隠す必要はない）。実際に設定してあるパスワードは、もちろん全く別の文字列なのだが、文字種をそのままにして16桁の文字列を出力したら設定できた。要するに８桁以上と言っておいて24桁のパスワードすら設定できないというわけだ。これも security theatre の一つだし、それどころかシステムのパフォーマンスに関する愚かな偏見だとすら言える。

つまり、パスワードを24桁にすらできない仕様としているのは、桁数が大きくなるとデータベースにハッシュ値としてストアする際の計算量が大きくなり、サーバに負荷がかかると思い込んでいるのだ。もちろん、算数の計算としては正しいが、いったいどれくらいのユーザがそんなことを頻繁にやるのかという実績を見れば、桁数を128桁だろうと1024桁にしようと、そんなことで全世界の利用者がいちどきにパスワードを強力な桁数に更新してDELLのサーバを落とすことなどありえまい。これが大人の「勘定」というものであり、現実の社会では計算ができることは必要条件ではあってもキャパシティ・プランニングの才能として十分ではないのだ。