素人にパスワードセキュリティを説明するときの正しい用語
私たちは、お客様の情報を安全に保つために講じている措置を説明するページをウェブサイトに書いています。このページの1つのセクションでは、パスワードを安全に保つ方法について説明します。
PBKDF2の実装である Secure Password Storage v2. を使用しています。ランダムソルトには、ハッシュアルゴリズムSHA256、64000回の反復、および24バイトを使用しています。私がパスワードを暗号化していると思って、人々にピッチフォークを上げさせてほしくないということを除けば、これがそれほど重要であるかどうかは本当にわかりません。
「私たちが保存しているパスワードは解読できない」というのは正しいことですか？私はそれがパスワードが決して解読されることができないことを意味することを心配します、それは単に真実ではありません。ただし、パスワードを保存するシステムは安全であることをユーザーに強調したいと思います（もちろん、十分に一意のパスワードを選択している限り）。パスワードデータベース全体が盗まれる。
私が検討した他のオプションは、「パスワードを保存するために使用される方法を元に戻すことはできません」または「違反の場合、パスワードを取得することはできません」ですが、より理解しやすくするために解読できないと私は見つけました特に、パスワードがプレーンテキストで保存されていないことに気づかない人もいるので。
「私たちはあなたのパスワードの機密性が非常に重要であると信じています。それが私たちがサーバーに保存されている間それらを強力に保護する手段を実装した理由です。つまり、攻撃者が私たちのサイトに侵入できても、すぐにパスワードを知ることはできません。
パスワードを保存するこの方法では、パスワードが悪意のあるユーザーによって解読されることが非常に困難になります。このテクノロジーと組み合わせて、一意で適切なパスワード/パスフレーズを選択すると、アカウントへの不正アクセスを防止できます。従業員でさえ、あなたの元のパスワードを知りません。」
アダムの提案と同様に、あなたの懸念の多くをカバーするために拡張されました。
技術的なコンポーネントはコミュニケーションが困難です。 「正しいことをしている」以上の答えを理解するには、多くの知識が必要です。それで、両方を言ってはいけません、次のようなもの：
「私たちは非常に強力なテクノロジーでパスワードを保護します。（オタクにとっては、現在SHA2/PBKDF2の64K反復です）」
「私たちが保存しているパスワードは解読できない」というのは正しいことですか？私はそれがパスワードが決して解読されることができないことを意味することを心配します、それは単に真実ではありません。
その文に「解読された」というまさにその存在が人々を間違った結論にジャンプさせるかもしれないけれども、それはいくぶん正しいです。
システム管理者であっても、パスワードを「一方向の暗号化ハッシュプロセス」にかけ、元のパスワードを見つけるために元に戻すことはできないと説明する方がよいでしょう。
パスワードを取得する唯一の方法がブルートフォースクラッキングである場合、「プロセスを元に戻すことはできません」と言っても差し支えないと思います。ブルートフォースクラッキングに対処したい場合は、「攻撃者が元のパスワードを入手する唯一の方法は、パスワードを正しく推測することであり、人間の寿命よりも長くかかる可能性がある」とパスワードに安全に選択されました。
私が検討した他のオプションは、「パスワードを保存するために使用される方法は元に戻すことができない」です
はい、私はそれを主張するのは公平だと思います。
「違反の場合、パスワードは取得できません」
これは私の意見では簡潔ではありません。第一に、「すべきではない」は曖昧であり、実際にはブルートフォースクラッキングによって取得できる可能性がありますが、このフレーズでは十分に対処されていません。
「アルゴリズムの逆転」-総当りできないと「パスワードの取得」-総当りcanは十分な時間を想定しているので、私の心には微妙な違いがあります。
しかし、それらを解読して理解しやすくすることはできません。
はい、間違いなく。
本文の説明は：
PBKDF2の実装であるSecure Password Storage v2.0を使用しています。ランダムソルトには、ハッシュアルゴリズムSHA256、64000回の反復、および24バイトを使用しています。
技術的な詳細を理解している人のために、これを含めることをお勧めします。ただし、前述の一般的な説明の1つも含まれていると想定しています。
これはどう
「業界で実績のあるセキュリティ技術を使用することで、当社の機器からパスワードが盗まれるのを防ぐことができます。」
編集：保証（またはそれと呼ぶもの）はエンドユーザーから十分なnpredictableパスワードを取得する必要があるため、コメントごとに表現を変更する必要があります。 （これは信頼できません）
おそらくリンクがある "これはどうして可能ですか？"
"反復的なSHA256ハッシュと呼ばれる手法を使用して、パスワードのチェックサムのみが保存されます。これにより、パスワードが一致するかどうかをテストできますが、元のパスワードを復元または復号化することはできません。電子メールやオンラインバンキングなどの大規模なアプリケーションで使用されるのと同じ手法です。 "
私はコミュニケーションの専門家ではありませんが、うまくいけば、最初の引用が素人の情報を提供し、誰かがあなたに質問し始めたら、リンクをクリックするでしょう。ワードチェックサムが理解できれば、余計な調査をしなくても理解できるでしょう。
パスワードの検証については、業界のベストプラクティスに従っています。例えば：
- ユーザーのパスワードは記録しません。代わりに、スクランブルダイジェストを記録します。これにより、パスワードを認識できますが、それ以上はできません。私たちはあなたのパスワードが何であるかを知りませんが、それを見るとそれを認識します！
- 暗号化パスワードストレッチングアルゴリズムを使用してダイジェストを計算し、ダイジェストをランダム化して意図的に使用します計算が遅い。これらの両方の要因により、ハッカーがパスワードを大量に推測するのはコストがかかります。
ただし、私たちの対策はすべてのリスクから保護できるわけではないことに注意してくださいあなたは防御の第一線です特に、次のものは私たちのものではなく、あなたの管理下にある非常に重要な要素です：
- 推測しやすいパスワードは選択しないでください。パスワードが配偶者の名前であり、結婚記念日であると誰かが正しく推測した場合、それについて私たちができることは何もありません。 [一連の適切なパスワードガイドラインへのリンク]
- 複数のサイトで同じパスワードを使用しないでください。サイトの1つがパスワードを漏らした場合、ハッカーは他のユーザーのアカウントにログインできる可能性があります。多くの異なるパスワードを覚えたり書き留めたりする必要がないように、安全なパスワード保管庫プログラムを使用することをお勧めします。 [そのようなプログラムへのリンク]
- 電話やメールでパスワードを尋ねることは決してありません。犯罪者の間の一般的な策略は、私たちになりすましてあなたを騙して自分のパスワードを教えることです。そのため、そのような電話または電子メールを受け取った場合は、要求されたようにしないでください。
- 私たちからのようなメールを受け取った場合は、早急にサイトにログインするように求め、メールに記載されているリンクをクリックしないでください。代わりに、Googleなどの検索エンジンに会社名を入力し、そこから結果を追跡してください。 [フィッシング対策リソースへのリンク]
あなたは公共サービスをして、あなたがしていることを説明することができます。
多層防御のようなもの-複数のレベルの防御。サーバーをハッキング不可能にする第1レベル。プレーンテキストのパスワードを保存しない第2レベル。暗号化されたパスワードを保存しない第3レベル。第4レベルの塩漬け。 slowアルゴリズム（64,000）を使用した5番目のレベルがパスします。