パスワードは定期的に変更する必要はない

この記事では、パスワードについて考えます。よく聞く「英数記号混在で8文字以上」で「定期的に変更しましょう」とよく言われています。これが本当かどうかを考えていきたいと思います。

使っては行けないパスワード

色々なサイトを参考にしながら使ってはいけないパスワードは、こちら

覚えられないからといって、上記のようなものはいけません(笑)

この問題に関しては、「徳丸浩のWebセキュリティ教室（日経BP Next ICT選書）」という本に興味深い記述があった。推測しにくいパスワードを設定していれば、パスワードは定期的に変更する必要が無いというもの。

理由は次の通り。

＜利用者がパスワードを変えない場合＞

最近は、Webサイトに高負荷を書けるとハッキングが直ぐにバレてしまうことが多く、パスワードをハッキングする際は、１秒間に１回総当りでログインを試すのが一般的らしい。１０年間１秒に１回ログインしたとしても、攻撃施行回数は３億１６００万回数となる。
パスワードを英数字８文字(大文字小文字混在)とした場合、パスワードの総パターンは、２１８兆通り。
パスワードの総パターン　／　攻撃試行回数　＝　0.0001445%

＜利用者がパスワードを定期的に変えた場合＞

同じロジックで算出した場合、0.0001436%となる。

この結果から、パスワードを定期的に変更する効果は殆どありません。むしろ、パスワードを盗み見されるリスクを抑えたほうがより、安全です。

但し、本当にパスワードを盗まれていたときは、それを検知できる仕組みを導入しましょう。