グローバルに一意のパスワードを使用できない理由

システムのユーザー識別/認証プロセスについて誰か（クライアント）と意見の相違があります。それの要点は、各ユーザーにグローバルに一意のパスワードを持たせることです（つまり、2人のユーザーが同じパスワードを持つことはできません）。私はこれに対する明白な議論をすべて排除しました（セキュリティの脆弱性であり、認証と認証を混同します、それは無意味です）。

私はこれについて権威のある（または半権威の、または独立した）意見を探してさまざまなGoogle検索を行ってきましたが、何も見つけることができません私が知る限り）。誰も私にそのような独立した意見を指摘できますか？

[編集]
すべての回答に感謝しますが、この提案されたアプローチ/要件の問題をすでに理解しており、クライアントに説明することさえできますが、クライアントはそれらを受け入れません。 。

私はまた、デイリーWTFの記事を見つけたと思いますが、それはジョン・ホプキンスが指摘しているという問題がある-これは、それは価値が説明するように見えるしないように自明WTFであることを理由。

そして、はい、パスワードはソルトおよびハッシュされます。その場合、グローバルな一意性を確保するのは難しいかもしれませんが、それは私の問題を解決しません-それは単にクライアントが先に進まないという要件があることを意味します。実装します。そして、「塩漬けやハッシュに悩まされていません」と言う立場にいたら、「グローバルに一意のパスワードを実装していない」と言う立場になります。

なぜこれが悪い考えであるかについての独立したおよび/または権威ある情報源へのポインタは、まだ感謝して受け取られています...
[/編集]

クライアントが既存のパスワードを作成しようとするたびに、一部のユーザーが既にそのパスワードを使用しているというフィードバックを受け取ります。これは通常、プライバシー規約に違反しています。

それに加えて、ユーザー名を推測するのがはるかに簡単です（そして、フォーラムがある場合は、そこに多くのユーザー名を見つけることができます）。

インターネット上のどこかにプライバシー契約違反の部分を説明するページがありますが、それは単なる常識です。基本的には誰かにキーと自宅の住所のリストを与えることです。

編集：信頼できるものではありませんが、WTFの意味を説明した後に役立つ可能性があります：http : //thedailywtf.com/Articles/Really_Unique_Passwords.aspx

ベストプラクティスは、要件を満たす方法を妨げます。

パスワードが何であるかわからないため、これを行うことはできません。したがって、保存できるのはパスワードとソルト（ハッシュ化されたパスワードの隣に保存できる）だけなので、パスワードを比較することはできません。これがベストプラクティスであるため、それがあなたのすることです。できた

別の編集：Doh！後知恵は簡単です-（もちろん）あなたは塩を持っているので、あなたはまだ一意性をチェックすることができます...ただ今私を撃ちます...もちろんあなたはこの詳細をクライアントに言及する必要はありません。

FWIW、あなたが思っているほど愚かではありません-目的は、ユーザーのグループが同意し、同じパスワードを共有するのを防ぐことです。人々はそれが彼らの生活を楽にするだろうと信じて行います。

パスワードを定期的に変更する要件、および現在または以前に使用したパスワードを（まったく）再利用できないようにする制約と、賢明な「強度」要件（または少なくとも「ブロックされた」のプリロード辞書「パスワード」を使用すると、ハッカーにとって有利ではない確率で、かなり迅速に到達できます。

わかりました、私の答えはもともと始まりました：

いくつかの条件がありますが、これに関しては概念的にほとんど問題はありません。そのほとんどは、私が太っていることです...

明らかに不適切なユーモア-ポイントは、グローバルにユニークな制約がなければ、さまざまな機会を生み出し、おそらく危険性が低いということでした-わかりません。

繰り返し不可能なパスワードの強制により情報が漏洩する

どうやって？クラッカーが単純なパスワードを使用して新しいユーザーを作成しようとするたびに、システムは「Nope、ca n't have a password」と応答するため、クラッカーは「Goody、それはリストの1つです」と言います。

セキュリティに関する情報を漏らすことは一般に悪いことです。OK、アルゴリズムを知っているサードパーティはピアレビューが必要ですが、専用のクラッカーがキーを推測できるようにする-悪い、本当に、本当に悪い。

良いパスワード管理ポリシーと悪いパスワード管理ポリシーを説明するリソース

パスワードの強度に関する詳細な議論については、セキュリティの専門家であるBruce Schneierによるこの記事をお読みください。

セキュリティ研究者のPhilip InglesantとM. Angela SasseによるこのPDFを読んで、「使用できないパスワードポリシーの真のコスト」について詳しく説明してください。結論から引用するには：

「[ユーザー]だけが危険を理解していれば、彼らの行動は異なる」[12]という世界観に対して、「セキュリティマネージャーだけがユーザーと組織の真のコストを理解していれば、ポリシーを異なる方法で設定する」と主張します。

誤った安心感

したがって、クライアントは「同じパスワードを誰も持っていない場合、パスワードが解読された場合、影響を受けるのは1人だけです」とパイプします。いいえ。クラッカーがパスワードシステムに根本的な欠陥があることを実証しているため、誰もが影響を受けます。オンラインシステムでの辞書攻撃に対して脆弱です。そもそもクラッカーがパスワードに対して複数の推測を試みることは不可能だったはずです。

オンラインアクセスには6文字で十分です

話題から外れますが、興味のある読者には言及する価値があると思いました。セキュリティ用語では、オンラインシステムは、データへのアクセスを監視および制御するアクティブなセキュリティ管理プロセスを備えたシステムです。オフラインシステムとは、そうでないシステム（盗難されたハードディスクに暗号化されたデータがあるなど）です。

オンラインのパスワードシステムを使用している場合、セキュリティの高いパスワードは必要ありません。パスワードは、20回の試行内で推測を防ぐために十分に複雑である必要があります（したがって、単純な「配偶者/子供/ペットの名前」攻撃は失敗します）。次のアルゴリズムを検討してください。

1. クラッカーは推測を最小限にするために「ルートとサフィックス」アプローチを使用してパスワードを推測します
2. N * 10秒間、資格情報が拒否され、それ以上のログイン試行が禁止されました
3. N> 20の場合、アカウントをロックし、管理者に通知します
4. N = N +1
5. 次のログインが時刻Tで発生する可能性があることをユーザーに通知します（上記で計算）
6. ステップ1に進みます

単純な6文字のパスワードの場合、上記のアルゴリズムは辞書攻撃を防ぎますが、モバイルキーパッドで最も不慣れなユーザーでも最終的には通過できます。言われるまでゴム製ホースでパスワードの所有者を打つ、いわゆる「ゴムホース攻撃」を防ぐものは何もありません。

暗号化されたデータがフラッシュドライブ上にあり、クラッカーがそれに対して何かを試す自由があるオフラインシステムの場合、最も回復力のあるキーが必要です。しかし、その問題はすでに解決されています。

もしあなたが彼らにこの行動方針に対して助言し、彼らに理由を提供したなら、私は彼らの言葉で彼らを受け入れ、彼らが示唆するようにシステムをただ実装するでしょう。それは満足のいくものではないかもしれませんが、あなたはあなたの仕事をしました、そして彼らは法案に足を踏み入れているので、彼らは彼らが望むものを手に入れるべきです。

例外が1つあります。システム侵害の負の結果が深刻な場合（たとえば、非常に個人情報がセキュリティ侵害によって侵害される可能性が高い場合）、実際には、必要なシステムを実装しないという専門的な義務があります。拒否しても人気になるとは思わないでください。しかし、それをガイドにしないでください。

マーフの答えを補強したいだけです。はい、それはセキュリティの問題であり、それを実装する際に情報開示の脆弱性があります。しかし、クライアントの観点からは、彼はそれについてあまり心配していないようです。

あなたが指摘するべきことは、実際に「固有のパスワード」チェックを実装することは物理的に実行不可能であるということです。パスワードをソルトおよびハッシュし、それらをクリアテキストとして保存しない場合、実際に一意性チェックを実行するのはO（n）（高価な）操作です。

10,000人のユーザーがいて、新しいユーザーがサインアップまたはパスワードを変更するたびに、すべてのユーザーのパスワードを調べて一意性を確認するのに30秒かかると想像できますか？

これは、あなたがあなたのクライアントに連れて行く必要がある応答だと思います。

質問をする適切な場所の観点から考えるだけで、Stack ExchangeのITセキュリティセクションはあなたにとって有用なポイントになるはずです。/security/tagged/passwordsを試してください -ITセキュリティに焦点を当てたさまざまな個人が特定の回答を提供できるはずです。

彼は、おそらくRSAの2要素暗号化を希望します。Active DirectoryまたはASP.NETメンバーシップを使用している場合、これは簡単です。

ハードウェアまたはソフトウェアトークンは、PINコードが後に続く時間依存の一意のパスワードを生成します。これにより、各ユーザーに一意のパスワードが提供されます。