■編集元：ビジネスnews+板より「【IT】パスワード入力の「****」は不要？ 研究者の間で激しい論議 [07/01]」
1 ライトスタッフ◎φ ★ :2009/07/01(水) 10:01:01 ID:???
![【IT】パスワード入力の「****」は不要？ 研究者の間で激しい論議 [07/01]](http://img.simpleapi.net/small/http://www.itmedia.co.jp/news/articles/0907/01/news033.html)
最初に問題を提起したのはWebユーザビリティ研究の第一人者ヤコブ・ニールセン氏。「パスワードを入力する際、画面に“****”としか表示されないのはユーザビリティ上問題がある。一般的に、パスワードを隠してもセキュリティは向上しない。それどころかログインに失敗してコストがかさむ」と指摘し、入力したパスワードの文字がはっきり見えるようにした方がいいと提言した。
著名なセキュリティ研究者のブルース・シュナイアー氏も、ブログでニールセン氏の意見に賛同を表明。「パスワードの文字を表示すれば入力ミスも減る。わたしもずっと前から、自分が入力したパスワードが見えないのは不便だと思っていた」と打ち明けた。他人に後ろからパスワードをのぞき見される「ショルダーサーフィン」（もしくはショルダーハッキング）の不安があるという意見については、「ショルダーサーフィンはそれほど頻繁にあることではない」と述べている。
これに対してセキュリティ企業SophosやTrend Microの研究者は、パスワードを隠すことには意味があるとの立場から、ブログで反論を展開している。
「ショルダーサーフィンが日常的に行われているという現実を、シュナイアー氏は過小評価している」と主張するのはTrend Microのベン・エイプリル氏。「パスワードを隠すことは、“パスワードを他人に教えてはいけない”というメッセージをユーザーに投げかける役割も果たしている」と指摘した。
Sophosのグラハム・クルーリー氏も、インターネットカフェや職場でパスワードをのぞき見される不安は大きいとの意見だ。さらに「パスワードを隠しているのは個々のWebサイトではなく、FirefoxやInternet Explorer（IE）などのブラウザだという点を、ニールセン氏やシュナイアー氏は誤解しているようだ」とも言い添えた。
ニールセン氏は、パスワードを隠すか隠さないかをユーザーが選択できるチェックボックスを設けることも提唱しているが、これについてもクルーリー氏は「友人の目の前でわざわざ“パスワードを隠す”にチェックを入れるくらいなら、最初
から見えない方がいい」と一蹴している。
◎ソース
http://www.itmedia.co.jp/news/articles/0907/01/news033.html
◎関連過去スレ
【調査】ネットユーザーの9割以上がID・パスワードを違うサイトで使い回し--野村総研 [06/12]
http://anchorage.2ch.net/test/read.cgi/bizplus/1244765024/
たまに長いパスワードの所があると
いつも使ってるパスワードが使えなくて不便。
マイナー配列の俺には隙がなかった。
画面上の***を見て解読できりゃ神だよｗ
万に一つの可能性を考慮するのが専門家だけれども、
現実的な落としどころを提示するのも専門家の役目でしょ。
一瞬表示されて、すぐ*でマスクされるってのはどうだ? あんま意味ないか。
自動で半角にならないとき、****だと「あれっ？」ってなる。
*** が表示されないのも困るけどな。
フォーカスが合ってるのかどうか気になる。
キーボードを打っているときに他人が肩越しからパスワードをじっと盗み見る、そういう状況はちょっとあり得ないだろうなとは思う。
覗き見られると言っても
付箋紙にパスワード書いてモニター枠に何枚も貼り付けてるオヤジ多いけどね。
短いパスワードなんか、隠しても、隠さなくてもどうでもいいだろ
ドラクエの復活の呪文レベルだったら隠さないほうがいいけど
画面が見える場所にいるときは、キーボードも見える状態にあるわけで、
画面だけ隠してもショルダーハッキングを防ぐ事は出来ないな。
キーボードも隠さないと。
意味ねぇ
KeePass Password Safeとかパスワード管理ソフトというものがあってだな…
パスワード関係で一番危険なのは、職場にいる同僚とかが
書き留めておいたパスワードを使っていろいろ妨害してきたりする事なんだよな。
自分も２ちゃんのスレ開いてるとこを上司に見られ、その時は何も言わなかったが。
その日以来、書き込むたびにヒドい煽りが入るようになったし
覗き見るやつがおったらすぐ分かると思うが
IT業界って暇なんだな
****と表示されれば入力しながら緊張感が伴うので、そのまま離席することもない
生体認証などのデバイス使うならともかく、基本的にユーザビリティとセキュリティは両立しないだろ
何を入力しても「くぁwせdrftgyふじこlp」でいいよ。
信者はあれが便利とか言ってるしアタマおかしいのかとオモタ
覗き見されりゃ確実に盗まれるだろ・・
まあそれ以前に叩いたキーがムニュって拡大するんで、
それを覗き見た方が早いけどなｗ
半角ローマ字で入力すべきところが、カナ入力モードになって、どうしようもないことがあった。
>>21さんのようにコピーペーストしようにも、コピーもできなかった。
契約の申し込みを諦めた。
確かにその状況だと出ないほうがいいね。
自分はその他の状況でも常時でないほうがいいに一票。
いいこと思いついた！パスワード自体を *** にすればいいんだ！
ＩＤ欄にカーソルあるのにパスワード入力しちゃってモロバレっすよｗ
それでコピペが無効化されているのが一番腹立つｗ
コピペの方が打ち間違いないだろってｗ
画面上で隠しても、メモ覗かれたら意味ないよな
必ず数字を入れろ
必ず+-/*/!等の記号を入れろ
必ず大文字、小文字は別々に１字以上は入れろ
うるさい うるさい うるさぁぁぁぁい
パスワードは常に画面の中央にでるようにしてフィルムでもはればいい
生体認証までの我慢ですね
メールアドレスはできるならあらかじめ到着確認しておいてから、
メール本文の指定のURLへアクセスして入力する形にするといい。
単アルファベット換字式暗号で表示するのは？
ぱっと見じゃパスワードそのものじゃないからokじゃね？
各サイト毎にめんどいから、共用認証にしてほしい…
防止の為だけにそこまでするのもなあ・・・
タッチパネル端末なら文字じゃなくて、絵をパスワードにすることも
できそうだね。
決められた筆順で五芒星とか家紋を描いて認証するようにしたら、おもしろそう。
キーボードじっくり見られるのでは？w
いまどきパソコンなんてほとんど内蔵カメラ付いてんだから
カメラ付いてるほうが珍しくないか？
Mac基準で考えてた
パスワードをそんなに打ち間違えるか？
いる。
Num Lockはずれているのに気づかず何度も
入力してアカウントロック状態にしてしまうのとか。
でもショルダーハッキングのことを考えると、＊のままの
ほうがいいとは思うけど。
なさけねぇな〜
俺とおんなじ。
６０年以上、全て同じパスワード使ってるよ。
↓
「短すぎます」
↓
長くする
↓
「複雑にしてください」
↓
複雑にする
↓
「一週間経ちましたパスワードを変更してください」
↓
パスワードを入れる
↓
「前とおなじはダメです」
↓
このシステム使うの止める
楽天ショッピング乙
.../abc/def/login.cgi?id=aaa&pw=manko
とか、一瞬だけアドレス表示されるバカサイトもある。
ほとんどのヤツは引渡す変数なんて見てないからな
作ったやつも知識が薄いんだろう
あるあるｗ
パスワード、パラメータで渡すバカｗ
メルアド二重記入のコピペ禁止はまだいい。
IME変換不可能になっているのが怒髪天をつく。
メアドなんて辞書登録しとるっちゅーねん。
サイボウズにいちいちログインするの邪魔くさいから、
URLに引数としてIDとパス入れてブックマークして使ってたら、
その引数付きURLがぐぐるさんに登録されて困ったことがw
で表示されているパスワードも、
Javascript使えば中身が分かる
これをどんなに批判しようともセキュリティ研究者のような意識になってくれない人てのは居なくならないのも現実。
まあ個人的にはそういう馬鹿は放っておけとも思うけどそれでは済まないのが時代の流れとか世論だったり(過保護な世の中ですから)。
何か新しい仕組は考えても無駄じゃないよね。
自覚するだけで人に教えてはいけないものなんだって気はするし。
設定でオンオフ切り換えられるのは良いな
普段使いでは隠す必要無いが、プロジェクターに映す場で隠されてなかったら困る
一応別扱いしたほうがいいんじゃない？
似たようなもんだって言ってる人いるけど。
画面にパスワードが表示されてたら、
キーボード配列に詳しくない人でも憶えられるわけだし。
まぁ昔はURLの数値弄ってリクエスト再送するだけで受け付けてしまう、
アホなサイトとかもあったけどさ
まあそんなのに引っ掛かるなら別のところでもパス流してるだろうがｗｗｗ
まだ対策してねーのかと泣きたくなるな。
なぜなら、他人が物理的にPCにアクセスできる状況なら容易にHDD内のパスワードファイルを持ち出して別コンピュータで解析することができるからだ。
だから自分のPC以外でのパスワードは人に知られても被害の無いものを使わなければならない。
後から止めなかったと裁判するようなアホが居る世の中だぞ。
入力し易くなったお陰で被害を受けたと言い出す奴が必ず居る。
問題起きても訴えませんって契約に載せるんだったら良いんじゃないか？
まぁ揉める人はマスクされようが簡単になろうが必ずトラブル起こすんだよなぁ。
60年前に庶民がパスワードを使っただろうか？
DB専門にやってるやつならともかく、PHPとかから開発に入ってきた人間だと
セカンドオーダSQLインジェクションなんかには意識が回らんのではないかなぁ
自分とこの入力フォームしかロクにチェックしないだろうし
DB側は各クエリ含めた来るデータ全部チェックしないと危ないから、
どうしてもDBに負担がかかる
他のパスは統一してるから数ヶ月放置してると忘れる
「あっちむいててよ」って一言言えば良いんじゃないんですか？
リスクと労力比べたら、別に今のままでかまわんわ
間柄にもよるが大抵はあなたが盗み見て悪用する可能性を万が一でも考えていますとは言いにくいだろう
でも、正味な話するとどっちでもいいや。*でセキュリティがそうそう上がるわけでも無いし、逆に不便って事もないからな
子供の頃よく読んでたよｗパスワードシリーズ
配信中とかパスワード丸見え
そこまでさせても確認画面とかあるしｗ
1***5***みたいにして、ヒントがあれば意外と思いだすもんだと思う
知り合ったばかりの微妙な仲の人とかがきたらどうすんだ？チェック開いて「隠す」にチェックいれて打ち直すのか？それを指摘されてるだろう。
俺は全部隠して欲しい。友達が見るとか見ないとかじゃない。実際なんかあったときに「見れる環境にあった奴」を疑うのが嫌なんだ。パスワードのうち間違いや覚え忘れとかでも「あいつにパス見られてたし、変えられたんじゃ？」とかの可能性を否定できないのが嫌だ。
