Security吉本明人2024.10.17危機管理室の吉本です。Draft(第2次公開草案)が更新されていたので、変更箇所をまとめてみました。全体で467ページと相当なボリュームがあるので今回調べたのは、主に話題になっているSP800-63B-4のパスワード要件についてです。初期公開草案からなにが変更されているか知りたかったので調べたことをまとめます。(NIST)が提供する、認証やID管理に関する「デジタルアイデンティティガイドライン」の第4版を指します。全体概要の文書と3つの関連文書に分かれており、下記のタイトル毎に策定されています。800-63B-4は、デジタルアイデンティティの認証のためのガイドラインです。パスワードやマルチファクター認証(MFA)を含む認証手段のセキュリティ要件を規定しています。パスワードの管理に関して詳細なルールを提供しています。ドラフトのリリース履歴SP800-63-4の初期公開草案から第2次公開草案までの経緯を表にをまとめます。初期ドラフトで、119日間のパブリックコメント期間に約4,000件のコメントが付きました。上記フィードバックを元に改善された最終レビュー用のドラフトで、10月7日までがパブリックコメントでした。SP800-63B-4の初期公開草案と、第2次公開草案はそれぞれ次の場所で確認できます。Draft)初期公開草案と第2次公開草案では章立てが変更されており、それぞれ下記の章でパスワードの要件が確認できます。Secretsと表記していますが、第2次公開草案からはPasswordに統一されわかりやすくなっています。Type変更内容SP800-63B-4のパスワード要件の各項目について、初期公開草案から第2次公開草案でどのように変更されたか下表にまとめます。過度に大きなブロックリストは大幅なセキュリティの向上をもたらさないため使用すべきではない。(3.1.1)変更された部分ではありませんが、パスワードに複雑性の要件を課さないという理由が付録A「パスワードの強度」で解説されていて面白かったです。ありがちな制限ですがパスワードの選択肢が狭まり、予測可能となることでパスワードの強度が弱まるようです。興味のある方は、詳しくは付録A「パスワードの強度」を参照してみてください。最終ドラフトの変更箇所をまとめてみました。相当なボリュームがあり、役立つ文書なので他の部分も読んでみたいと思いました。今後正式にリリースされたらまたチェックしたいです。Securityのエージェントで対応している言語をまとめてみた。