パスワードを忘れた? アカウント作成
8006573 story
セキュリティ

セキュリティー啓発は時間とお金の無駄 78

ストーリー by reo
ごもっとも 部門より

eggy 曰く、

セキュリティー専門家の Bruce Schneier 氏が Dark Reading の記事で、ユーザーに対するセキュリティー啓発は時間とお金の無駄であるとする意見を述べている。氏によれば、「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」という (本家 /. 記事より) 。

氏はセキュリティー対策を健康対策になぞらえて説明している。健康的な生活を送るためには、栄養バランスの良い食事と取り、運動することが必要であると散々言われてきたにも関わらず、一向に生活スタイルを変えない人達がいる。健康でいられるという長い目で見た時の恩恵に対して、一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。つまり、コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。

このやり方は Facebook でも使われているとのこと。誰も新プライバシー方針を最後まで一々読まないし、「OK」ボタンを押してさっさと友人とのチャットを開始するほうがずっと楽なのである。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by hahahash (41409) on 2013年03月25日 10時12分 (#2349415) 日記

    アホが自爆したとき、
    『だからダメだって言ったじゃないですか!』(オレじゃなくておまえの責任だ)
    と言うために。

    • by Anonymous Coward on 2013年03月25日 10時26分 (#2349427)

      いざというときのためのアリバイ作りは重要ですよね。
      それでも責任おっかぶせてくる連中ばかりではありますが。

      親コメント
    • by Anonymous Coward

      むしろ、あえて不便なようにすべきだと思うけどね
      車の運転だってMTならアクセルとブレーキの踏み間違いはまず起きない

      • 長い下り坂の終点付近で目前に急カーブという減速必須な場面で、ブレーキとクラッチペダルを踏み間違えた事のある、俺参上
        一体俺に何が起こったのか?その瞬間も今も、全くの謎

        親コメント
        • by Anonymous Coward

          右足を動かそうとして左足が動いたんですか?

        • by Anonymous Coward

          わざわざネタ作らなくて良いよ。
          FJとかのフォーミュラなら、間違える?ことが出来るかもしれんがw

          一般のMT車で右足でクラッチまでは余程変な体制でない限り、踏むことが
          出来ない。そんでもって、クラッチペダルを踏み込むときに気を付けないと
          ブレーキペダルも一緒に踏み込んじゃう。

          運転中に左足攣ってシフトダウン時に踏むのに苦労したので。。
          (長い下り坂+退避場所無で、ブレーキ踏みっパができない状況)
          左足畳んで運転していればやってやれない事は無いかもしれんがね。。

          • いやぁ、それがネタじゃないんですよ(苦笑)
            左足はフットレストに、右足でブレーキ通り越してクラッチペダル踏んでるのに、そんなに極端な感覚はその瞬間無かったです
            なので、何故減速しないのか気づくまでの体感数秒間は軽くパニくりましたよ(泣)
            今、(モチロン停車中に)再現すると無茶な体勢と感じます…なのでホント、何でそんな事になったのか謎

            ちなみに車はK12マーチ12SR、AT車の所有歴無し(社有車とかでAT車の運転もしますが、ブレーキもアクセルも右足操作)

            親コメント
    • by Anonymous Coward

      何かあったときにユーザに責任を押し付けることに一生懸命になってるシステムってのは
      ユーザ側から見たら魅力ないよね

      簡単に言うと質が低い。

    • by Anonymous Coward

      友人関係でそれならば、人間性を疑うし、
      仕事でそれならば仕事してないにもほどがある。

      啓発しても意味がないという前提で、セキュリティを向上させるのがあなた方の仕事。

      まさに「お役所仕事」ですね。
      お役所でももっとまじめにリスク管理はされている。

      まぁ、その程度なんですね。

      • by Anonymous Coward

        それがプロの仕事ってもんだ。
        要求された水準のものを最小限のコストで提供するのがプロ。
        あとでボーナスに反映されるならいいけど、
        そうでないなら(お役所なんてまさにそれだよね)
        給料分以上の仕事のために指一本動かすもんじゃない。

      • by Anonymous Coward

        啓蒙に強制力があると思ってるあなたのほうがおかしい。

      • by Anonymous Coward

        たかが友人関係で啓発なんかしたところで
        「あ、そういうのいいから」
        と婉曲に避けられるのはまあ普通の話でしょう。

        まして貴方みたいにカリカリした物言いのエバンジェリストじゃあ…。

    • by Anonymous Coward

      ユーザがアホだとわかっているなら、
      そのアホなユーザでも快適かつ安全に使えるシステムを考えることが重要でしょうな。
      事故を起した場合は啓発の有無に関係なくその企業の信用に傷が付くことでしょう。

  • by Anonymous Coward on 2013年03月21日 16時02分 (#2347509)

    いちいちセキュリティーを啓蒙するよりも、
    予めシステムの制約としてユーザの愚行を制限する方がいいに決まってるけど、
    残念、そーゆー話じゃないのか…

    > 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」

    何も記録せず、何も発信しないシステムにしない限り、ユーザは過ちを犯す。
    そんな事も分からないやつが「セキュリティー専門家」を名乗っているとは…

    > 一日中テレビの前に座ってマクドナルドのスーパーモンスターミールを食べるという目先の満足感を優先させてしまうのである。
    > つまり、コンピューターセキュリティーは長い目で見て将来起こり得る攻撃から守ってくれるかもしれないが、人は目先の楽しい事を優先させてしまう。

    その理屈だと、啓蒙は無駄と言う事にはならないだろう。
    米国人が僅かな例外も無く皆太っているわけではなく、
    健康的な生活習慣を維持できない貧困層が太っているのだから、

    > このやり方はFacebookでも使われているとのこと。

    え? つまりそれはダメな方法って事だよね?
    セキュリティーを啓蒙せずユーザのやりたいように任せたら、
    ソーシャルハックされまくって年がら年中トラブルになっているわけで…

    うーん、やっぱりその自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。

    • > いちいちセキュリティーを啓蒙するよりも、
      > 予めシステムの制約としてユーザの愚行を制限する方がいいに決まってるけど、
      > 残念、そーゆー話じゃないのか…

      いや、そーゆー話です。
      そーゆーシステムを開発するように開発者側を教育しろって感じで。

      > 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」

      の所は多分訳がおかしくて、

      「ユーザにしょぼいパスワードを使うことを許さず、ユーザがどんなリンクをクリックしても
        気にしない(大丈夫な?)ようなシステムを開発者はデザインするべきだ。」

      って書いてます。リンクがどーのこーのな話は、セキュリティでありがちな「怪しいリンクは踏むな」、
      ってのはユーザががんばって気にするべきことじゃなくてシステム側でもうちょっと何とかすべきだ、
      っていう主張だと思う。たぶん。

      >> このやり方はFacebookでも使われているとのこと。
      > え? つまりそれはダメな方法って事だよね?

      Facebook のシステムってみんなに気軽に OK 押させて個人的な情報色々ぶちまけさせてるよね、
      クソだよね、あーゆーの、みたいな雰囲気なのでダメな方法です。

      とりあえず原文読んだほうがいいと思う。

      # 自分の訳と理解もあってるかどうかは自信ないけど

      親コメント
      • 確かにストーリーの要約が悪すぎるので原文を読んだほうがいいと思います。

        そもそも、啓発(トレーニング)が全部ダメなんて言ってないですね。健康に関する啓発がうまく機能している例として、HIV感染予防が挙げられてます。うまくいっている理由は「気にしなかった場合のリスクがものすごく大きく、はっきりしている」「安全なセックスのために何を守ればいいかがはっきりしている」ということです。一方で、「手を洗う」という啓発ははるかに簡単なのに、うまくいっていない。手を洗わないことのリスクは小さいし、どんな悪いことが起こるかもはっきりしないからです。

        車の運転の教習もうまく機能している例です。車の運転は難しいものですが、乗れることのメリットははっきりしています。また、一度安全の常識を覚えれば、車自体の技術が進歩しても同じやり方で運転できます。コンピューターセキュリティの常識が10年もすれば変わってしまうのと対照的です。

        Schneierさんの主張は、「ユーザーに細々した対処法を教えるのではなく、基本的な操作方法を身につければ安全に使えるよう、開発者を啓発した方が良い」ということだと思います。
        高木浩光さんがこちらの日記で [takagi-hiromitsu.jp]書かれている主張に近いと思いますね。ここで言う「ユーザーがルート証明書のフィンガープリントを確認せよ」というのが無駄なユーザー向けの啓発です。こういうことをせずに、「オレオレ証明書を使うな」と開発者を啓発し、その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいい、ということだと思います。

        親コメント
        • 「オレオレ証明書を使うな」と開発者を啓発し、

          こっちは、もしかすれば、なんとかうまくいくかもしれないけど、

          その上でユーザーには「オレオレ証明書の警告が出たら必ず『いいえ』を押しなさい」という常識だけを身につけてもらえばいい

          こっちはうまく行くかなあ。そもそも「オレオレ証明書」って物をユーザに理解させるのが困難だし。
          そんなことをやるくらいなら、(かなり面倒な操作をしない限り)問答無用で「オレオレ証明書」を拒否するブラウザを配布した方がいいんじゃない?

          親コメント
    • >> 「ユーザーにパスワードを選ばせたりなんか>せず、ユーザーがクリックするリンクを気にし>ないようなシステムをデザインするべきなのだ」

      >何も記録せず、何も発信しないシステムにし>ない限り、ユーザは過ちを犯す。
      >そんな事も分からないやつが「セキュリティー専門家」を名乗っているとは…

      よくある、悪くない主張だと思うが。
      例えば、企業内LANを直接インターネットに綱がないとか、そういう考え方だろう。
      多少不便だが、根本的な対策にはなる。

      一般の企業内LAN以外にも、現代では、生産設備や実験設備もLANを使っていることが多いが、それらの制御用として導入・内蔵されているPCは頻繁にアップデートすることが困難なことが多いので、それらのLANも独立させておく方が好ましい。

      親コメント
    • by Anonymous Coward on 2013年03月25日 10時34分 (#2349435)

      うーむ、/.も墜ちるところまで墜ちたと言うべきか。

      > やっぱりその自称「セキュリティー専門家」とやらは知ったかぶり素人じゃないのか。

      ブルース・シュナイアーの名前を知らないのはともかく、軽くぐぐってみるぐらいの智恵を働かせたほうが恥はかかなくて済むと思いますよ。シュナイアー著、Applied Cryptographyはこの業界のバイブルで、読んでないのにセキュリティ専門家を名乗る奴がいたらゴミ、というレベルの大家ですよ。

      親コメント
      • 大家だから正しいとするのはどうかと思いますよ。
        まあ開発者側の心構えとしては正しいと思いますが、
        現実的なコストでできる万能の銀の弾がない以上、やはり啓蒙は必要だと思いますが。

        親コメント
      • by Anonymous Coward

        「会社が従業員に対して」セキュリティー啓発をするのは無駄という主張であると理解し賛成しておくが、
        デブを引き合いにするのは全く不適切だな
        これでは彼の主張が愚民化政策だと受け取られても仕方がないし、セキュリティー業界がバ○揃いなのもこれで納得がいく(とかいう)

        • by Anonymous Coward

          そんな受け取り方をする人がいるんですか?
          どこの愚民ですか、それは。

          # 馬鹿は死ななきゃ治らない。つまり治らないから関わるのは無駄。
          # 無駄なコストは切り捨てましょう。

      • by Anonymous Coward

        大家だから盲信するの?
        もしかしたらその大家とやらが愚鈍になった瞬間に、我々は立ち会ってるかもしれないのに。

    • 本家の記事も読んでみると、肯定的な意見、その上でどのように実現するべきか?というコメントが高スコアの様でありますが……

      親コメント
    • by Anonymous Coward

      何と戦ってるんだ
      雑談サイトなんだからもうちょっと肩の力抜いた方が楽しいよ、

      まわりの人は。

  • > 「ユーザーにパスワードを選ばせたりなんかせず、ユーザーがクリックするリンクを気にしないようなシステムをデザインするべきなのだ」
    セキュリティで話題になるとよく思うんだが,パスワード自体が無理なんじゃないかと.
    ユーザに管理させるには 負担を強いすぎる:
    パスワードの個数とか,サイトが許容するパスワードの制約とか.

    サイトごとに(例えば 懸賞サイトなんかにすら) アカウント+パスワードがある;
    アカウント名は,重複チェックに引っかかったら別名にしなきゃいけない;
    パスワードは,サイトの入力制約がバラバラ (e.g. 文字数,文字種);
    なんて,まともに管理できるわけがない.

    パスワード管理ツールを使う とか,パスワードを一定アルゴリズムで決める(固定パス+サイト固有のフレーズ+salt) とか,
    みたいなライフハックはありますが,それをユーザーに強いるソリューションって どうよ,という.

    そろそろ パスワード以外の解法が出て欲しいなあ と思うんですが,どんなのがありますかね?

    • 見知ったところで言うと,OAuth (e.g. Twitter) がありますが,
      あれがなかったら きっとみんな発狂してる.Twitterのちみこいサービス類とか.

      とはいえ,関連度が高い または 重要度の低いサービス でしか運用できない気がしますが.
      結局 大元の垢は パスワード管理ですし,
      全部まるっと一垢で管理 なんてできないですし(e.g. Twitter垢に銀行垢を紐付け;なにそれこわい).

      現実的なところなら 携帯アプリとか利用しての セキュリティトークン (e.g. Google二段階認証) ですかね.

      親コメント
    • 指紋認証とかの生体認証系ですかねぇ。
      専用の機械が必要なのがネックですが。

      PC外のツールとして、
      認証トークンみたいなツールとか。
      電話やメールで認証情報を送る方式とか。

      キーボード入力のクセで認証する方式とか、わりと便利そうなんですけど、
      一般的じゃないですねぇ……

      親コメント
      • by Anonymous Coward

        生体認証は、パスワードが歩いているのと変わらない。
        指紋を取るのは簡単だし、静脈も虹彩も、居酒屋で酔いつぶれて寝ている隙に、とかいくらでも手がある。認証機器が普及すると盗み取るのも、より簡単になる

    • by Anonymous Coward
      費用対効果を考えたらスマートカードが最強だと思います。
    • by Anonymous Coward

      生体認証にしても、ICカードや携帯機器を使うにしても、
      盗みとられたらおしまいってのがありますからね。

      パスワードだって一度盗まれたら全滅するからって、同じパスワードを複数サイトで使うなって言ってるでしょ(誰も守っちゃいないだろうけど)。

  • by iwakuralain (33086) on 2013年03月25日 11時26分 (#2349468)

    パスワードは8文字以上で英数記号混在していて文字が1文字でも重複してはならずさらに毎月1回は変更を行い過去に使ったパスワードは使用できないのが当たり前。
    自宅と言えどもファイアーウォールは当たり前でログなんかは全て記録が当たり前、ウィルスチェックはファイアーウォールでのチェックとPC内でチェックの2重チェックは常識。

    とかネタ的に考えた見たけど、ここになら普通にこういう人いそうですな。

    # 啓蒙に関してはやりつづけるべきとは思うけど危険性を訴えるものは多いけど、実際の対応手順を初心者にもわかりやすく示したものってのは少ない気がする。

    • by Sukoya (33993) on 2013年03月25日 11時46分 (#2349478) 日記

      たぶん、そこまで厳しくすると、パスワードがabcd0001からabcd9999まで延々と続く事になるか、
      迂回ルートを探す事になるよね。と。

      #というのをDQXでやらかした戦犯……
      #ワンタイムパスワードは最高じゃあ!

      親コメント
      • by Anonymous Coward

        英数記号混在ですから、
        abc@0001からabc@9999
        とかになるでしょう。

        で、これですら@入れたこと忘れて問い合わせ。

    • by Anonymous Coward

      >文字が1文字でも重複してはならず

      これはNG。
      設定可能なパターン数が各段に減る=攻撃の命中率が上がる。
      abc@123456789といったパスワードを量産させる圧力にもなる。

    • by Anonymous Coward

      単純に辞書にある単語を、5個以上選ばせるとかの方が強いのでは、
      試行回数の制限がないなら、英数記号混在させても現実的な時間で力技で解読できてしまいますし、

    • by Anonymous Coward

      ネタ的というけれど実際ネタと思えない人もいるんだよね。
      今のパスワードのあり方としては
      システム側
      ユーザーの選択したパスワードを拒否しない。
      ログイン時に失敗したときは、その旨をユーザーに通知する。

      利用者
      単語を選択しない
      無理のない範囲で長くする

      ということだと思う。
      記号を混ぜなきゃならないとか、いろいろな文字を混ぜるなんてのはリソース足りなかった過去の話でしょ。
      あと、短期間に、かつ、定期的にパスワードを変更するのも無意味
      それよりも、設定するパスワード毎に同じものを使わないことが重要。

  • セキュリティ対策は「気をつける」と「罰則を厳しく」だからな

  • by Anonymous Coward on 2013年03月25日 11時10分 (#2349456)

    サイバーノーガード最強!
    #冗談です

    一般のエンドユーザーは意識しなくても安全くらいがいいに決まってるのです。
    逆に言えば不便を強いる現状は「不具合を運用でカバー」くらいにはナンセンスなんだろうねえ

  • by Anonymous Coward on 2013年03月25日 11時34分 (#2349472)

    会社が、いつ辞めるかわからん何万人もの従業員相手に
    啓発でなんとかしようってのは効率が悪いだろう。

    でも、たとえば親が自分の家族のことを考えているときは
    システム的なブロックもいいけれど、長期的には啓発のほうが
    いい結果になるような気がせんでもない。

    家人のメールアドレスでググってみたら、blogなんか書いていた。
    ちゃんとACになるように啓蒙中。実名とメールアドレスなんて
    すぐ繋がっちゃうってのがわかってないみたい。

typodupeerror

未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー

読み込み中...