そら私自身のMicrosoftパスワードは常に12文字以上で適度に複雑ですが、それはここでの議論の主題ではありません。MicrosoftやGoogleのような主要なサービスプロバイダーが言うように、オンラインパスワードは本質的に危険であり、ほとんどの一般消費者ユーザーにとっては「セキュリティ」機能として基本的に役に立たないからです。
これが、Microsoft、Googleなどがここ数年、これらの問題のほとんど、あるいはすべてを解決するパスワードの代替手段を見つけようと懸命に取り組んできた理由です。
複雑なパスワードは、まさにその通り、一般の人には複雑すぎて覚えるのが困難です。そのため、人々はパスワードを単純にしすぎたり、短くしすぎたり、あるいはもっと悪いことに、あらゆる場所で使い回したりします。ウェブサイトや、より頻繁には自身のデバイスが侵害されたり、フィッシング詐欺でパスワードを渡してしまったりすると、その目的は失われます。
これらの問題は、技術的な失敗というよりは、ほとんどが人的な失敗であることに注意してください。技術自体は機能しますが、平均的な人が理解し、適切に管理するにはあまりにも複雑すぎるのです。悪意のある攻撃者は、過去10年ほど、技術自体が改善されて問題になることが稀になったため、この点を悪用してきました。
私が先に参照したパスキー方式について実際に読んで学んでいただければ、このシステムが認証の技術的な側面を人間が管理する必要性をなくし、自動化することによって、多くの人的な失敗の問題を取り除くことがわかるでしょう。人間がウェブサイトの認証情報を作成・アクセスするという最初の選択をすること以外に関与する必要をなくし、これらのトランザクションをhttpsのような既存の暗号化トンネルや、Bluetooth経由のようなパスキーシステムに新しいトンネル内で完全に実行することで、人間がこれらのより安全な公開鍵ベースのオブジェクトを作成したり操作したりする必要性をなくし、フィッシングやその他の帯域外のセキュリティ障害の可能性も排除します。
ですから、あなたがパスワードについて言っていることは理解しますが、Microsoft、Google、そして銀行やオンライン小売などの他のすべてのサービスプロバイダーと同様に、私はあまり気にしていません。問題なのは、それらを使うことを強いられてきた人間ではなく、パスワード自体だからです。
前回の投稿で述べたように、せいせいしますね。
あなたが心配しているPINについては、なぜそれが最高価値のターゲット以外にとっては真の懸念ではないのか、その理由を実際に読んで理解していただけると幸いです。そのような場合にのみ、誰かが既存のデバイスのオペレーティングシステムに侵入する努力をするでしょう。盗まれた消費者向けデバイスのほとんどは（長時間の物理的アクセスを得る唯一の方法）、データをアクセスしようとするのではなく、デバイス自体を他の誰かに売るために泥棒によってすぐに上書きされます。したがって、データ侵害のリスクは、Windowsのログインを完全にバイパスすることを選択した人々にのみ存在します。カメラによる顔認証や指紋リーダーのような他の選択肢が利用できない場合に、PINの使用から最も恩恵を受けるのはこれらの人々です。
ご存知ないかもしれませんが、Microsoft Hello for Business製品には、文字や大文字小文字、数字を使用して、より長く、より複雑なPINを指定する機能もあります。したがって、これらの潜在的により価値の高いターゲットに対しては、これを行うオプションが存在します。しかし、そうなるとパスワードを悩ませるのと同じ複雑さの問題がいくつか戻ってきます。そのため、私は個人的に、TPM 2.0のアンチハンマリング設計が、攻撃者に知られていない4桁のPINでさえも破られる可能性を大幅に減少させると信じています。
過去にコンピューティングセキュリティの専門家として、私はモバイルデバイスの顔認証のバックアップとしてPINを使い続けるでしょう。カメラが何らかの理由で機能しない場合に、他人の前でずっと長いオンラインパスワードを入力する必要なく、迅速な解決策を提供してくれるからです。また、誰かが私が見ている間に肩越しに覗き見したかもしれないと感じた場合に、PIN自体を素早く変更する能力も提供してくれます。
あなたは間違ったことを心配していると思います。そのような決定を下す前に、真の潜在的なセキュリティリスクをより徹底的に評価する必要があります。私はそうしています。
＜編集＞ BTW、PINについて言及する際に、このMicrosoftのドキュメントを含めるべきでした。これは、ビジネスITメンバーや他の専門家が、あなたのような技術的でない人々がよく誤解している「なぜPINがパスワードよりも優れているのか」を理解するのを助けるために作成されたものです。
PIN がオンライン パスワードよりも優れている理由 | Microsoft Learn