部分的なパスワード

部分パスワードは、キーストロークの記録やショルダーサーフィンを効果的に行えなくすることを目的としたパスワード認証方式です。^{[ 1 ]}

パスワード全体ではなく、特定の文字数だけをユーザーに入力させることで、部分パスワードはパスワード盗難からユーザーを保護するのに役立ちます。 ^{[ 2 ]}パスワードの一部だけが一度に公開されるため、キーストローク記録やショルダーサーフィンなどの手法を使用してパスワードを取得することがより困難になります。

David AspinallとMike Justによる論文では、部分的なパスワードの実装と攻撃について詳細な研究で説明しています。^{[ 1 ]}

 8文字より長いパスワードを使用して11万回のシミュレーションでテストした結果 、ジュナード・アリは次のように述べている。^{[ 3 ]}

• 7回のログイン後にはパスワードの58%が完全に漏洩し 、12回後には90%、19 回後には99%が完全に漏洩する。
• 漏洩したパスワード488,129件のデータセットを用いてテストした結果、テスト対象となった3文字のパスワードセグメントのうち58%は、データベース内の当該パスワードにのみ有効であった。さらに、28%は他の1つのパスワードにのみ関連付けられ、8%は他の2つのパスワードにのみ関連付けられていた。

パスワードを平文で保存しないことは良い習慣と考えられています。^{[ 4 ]}代わりに、パスワード全体をチェックする場合、パスワードを暗号学的ハッシュ関数に渡した結果を保存するのが一般的です。ユーザーはパスワード全体を提供しないため、保存されているパスワード全体のダイジェストと照合して検証することはできません。要求される可能性のある文字の組み合わせごとにダイジェストを保存することを提案する人もいますが、これは大量のダイジェストを生成して保存することにつながると指摘されています。^{[ 5 ] [ 6 ]}ストレージ容量とセキュリティの観点からより良い解決策は、秘密分散方式を使用することです。^{[ 6 ] [ 7 ]}