パスワードの定期変更は意味がない？

最近、米国の政府機関で「パスワードの定期変更を推奨しない」
という方針になったことがニュースになっていました。

「パスワードは定期的に変更してはいけない」--米政府｜ニューズウィーク日本版 オフィシャルサイト

この記事を読む

パスワードの定期変更に意味があるのか、ということについては
以前から議論がありました。

米国政府機関としては「意味がない」という結論に達した、ということだと思います。

実際、「パスワードの定期変更を求める」システムにおいては

・とりあえず違うパスワードに変更する
・すぐに元のパスワードに戻す

といったことをしている人が多いでしょう。

人間が自分で管理できるパスワードには限度がある

結局のところ、人が記憶で管理できるパスワードというのは
それほど多くない、ということです。

ですから、多い人では数十からある登録サイトのパスワードを
すべて違うパスワードにする、というのはほとんど現実的ではありません。

人が記憶できないなら、ということで、Excel で管理している人もいますが
このファイルを人にみられる可能性を考えると
すぐにでもやめるべき習慣です。

ということで「パスワードを管理してくれるアプリ」
も存在しますが、この「管理」がどれほど信頼できるのか、
私自身は不安がぬぐえませんので使っていません。

それではどうしたらよいのでしょうか？

パスワードではなくパスフレーズ

先のリンク先には、「ワード（語）」ではなく、
より長い「フレーズ（句）」にすべき、とあります。

私も、数年前から、基本的には以下のようにしています。

１．ためしに登録するなど、どうでもよいサイトに使うための簡易な覚えやすい「パスワード」
２．漏洩されてもたいして問題ないサイトのための「パスフレーズ」
３．重要なサイトのための「パスフレーズ」

「パスワード」にも「パスフレーズ」にも半角英数、数字、記号を含めています。

「パスフレーズ」については、なんらかの意味のある句にしています。

たとえば、

rabbitRunsaway-2miles
（うさぎが２マイル逃げる）

のような感じです。

MyFavoriteSong=sweet_19_blues

でもよいでしょう。

句はその人が覚えやすく、なじみのあるものにすればとても忘れにくくなります。

問題はパスワードの文字数、文字種制限

ところで、せっかく上記のような方針でパスワード、パスフレーズを
決めていても、

「パスワードは８文字までにしてください」
「パスワードには英数字のみ指定してください」

というウェブサイトやシステムが存在します。

文字数の上限を短くしたり、文字種別を英数字だけに制限するのは
セキュリティ上かえって脆弱といえます。

文字数が増え、文字種が増えれば、それだけパスワードのパターンが増え、
推測されにくくなるわけですから。

残念ながら国内の、大手のウェブサイトで、
この手の制限がされていることが多いように思います。
なぜそのようにしているのか、是非教えてもらいたいものです。

このようなサイトのために、やむを得ず以下のパスワードも記憶しています。

４．制限のあるサイトのための８文字英字パスワード

都合４つのパスワード、パスフレーズです。

私としては、はやく４のようなパスワードをなくしてしまいたいのですが
こればかりは自分ではなんともなりません。。

みなさんはどのようにパスワードを管理していますか？