Scribble at 2018-12-06 15:27:43 Last modified: 2022-09-28 17:45:04
あなたが利用しているサービスが8文字のパスワードを要求しているとします。Abrams氏は、その制約で組み合わせのうちの70兆6000億個が除外されると指摘しています。[...] というのも、その制約で1文字から7文字の長さのパスワードがすべて無効とされるからです。それによって、パスワードを破るのに必要な時間がなんと2277秒、つまり38分弱も短くなります。これはなかなかの数字です。
当サイトではパスワードの運用について幾つかの記事を書いたり翻訳しているのだが、こういうクズみたいなコタツ記事はページを作って批判するに値しない。なので、ここで情報セキュリティの実務家というかプロが叩き潰してやろう。馬鹿はありがたく思え。
まず、大小の英字（52文字）＋数字（10文字）＋記号（34文字）の合計96文字から選んで構成される８桁の文字列は、組み合わせの総数が7,213兆8,957億8,983万8,336個になる。こんなものは96の８乗を計算できる機器かソフトウェア、あるいは Google の検索ボックスに「96^8」と入力しても答えが出てくる。そして、なんでもこの愚かな人物によると、パスワードをちょうど８桁だけに制限して、１桁や５桁のパスワードを許容しない認証システムを作れば、70兆もの組み合わせを無視することになるという。しかるに、ぶるーとふぉーす攻撃なるものでは、１桁から８桁までの全ての組み合わせを攻撃するのにかかる所要時間の3,548分に対して、38分も短縮されてしまうという。
アブラハムとかいう技術者が書いたという元の記事は読んでいないが、このバカは自分で数字を見ていて、何も気づかないのだろうか。約7,200兆個の組み合わせが、約7100兆個の組み合わせに減る。そして所要時間が3,548分から3,510分に減る。おお、それは凄いことだ。所要時間が１％も短縮されてしまっているぞ。これは由々しきことなので、１桁のパスワードでも許容するようにシステムを直さなくては・・・そんなわけないだろ。１桁や３桁のパスワードを作られて数秒でクラックされるよりも、残りの最大で3,510分はかかる条件にしておく方が安全に決まってるじゃないか。
情報セキュリティにおいて最も危険なのは、むやみに矮小な数字だけを取り上げて騒ぐ「専門家」の記事をコピペしては喜んでる連中の記事を簡単に信じてしまうことなのだ。情報セキュリティにおいて適正な情報を普及させるときの敵は、何も情報を意図的に攪乱させるような攻撃者だけではない。生半可な知識や技術や判断でデタラメを口にする「情報セキュリティの専門家」もまた敵になりうるのである。