令和6年度 III-32

解説

この問題で問われていること

NISTガイドラインのパスワード要求として、最も不適切なものを選ぶ問題。

解き方

① NIST SP800-63B: パスワードの定期変更は求めてはならない(漏えいの証拠があるときだけ変更させる)。最低8文字、Unicodeも受け入れ、ブロックリストと照合、パスワードマネージャーを許可
② ③は「定期的に変更を求めなければならない」で逆
③ ③

正解が正しい理由

NISTのガイドラインでは、パスワードの定期的な変更を利用者に求めてはならない(SHALL NOT)とされている。定期変更を強制すると、弱いパスワードや規則的な変更(末尾の数字を増やすなど)を招くためで、漏えいの証拠がある場合にのみ変更を求める。したがって、定期的に変更することを求めなければならないとする③は最も不適切である。

各選択肢について

• ① パスワードの長さに最小長を設ける記述。800-63B-4では、単要素認証で使うパスワードは15文字以上、多要素認証の一部として使う場合は8文字以上とされており、8文字は後者の条件に当たる。③と比べて明確に誤りとはいえない。
• ② 通常の文字に加えて、Unicode文字も受け入れる必要があるという記述は適切。
• ③ パスワードの定期変更を求めてはならないのがガイドラインの要求であり、求めなければならないとする記述は不適切。これが正答。
• ④ 設定・変更時に、頻繁に使用される、予期される、又は侵害されていることが知られている値を含むブロックリストと比較しなければならないという記述は適切。
• ⑤ パスワードマネージャーの使用を許可しなければならないという記述は適切。

覚えるべきポイント

NIST SP 800-63Bの方針: 長さを重視、複雑さのルールや定期変更は求めない、漏えいパスワードのブロックリストと照合、貼り付けやパスワードマネージャーを許可する。