アカウントがスパムの踏み台となるのをソフトウェアレベルで対策したい

[tamaina]

Passkey, セキュリティキー(WebAuthn, 端末の指紋認証なども含まれてしまう), Eメールでのワンタイムパスワード(未実装)でのログインを主体とする

Pros

パスワードによる乗っ取り被害はなくなる

Cons

物理キーや端末をなくしたり、キーチェーンやEメールにアクセスできなくなったりした時に詰んでしまう

[KawaneRio]

やめて（切實）

【追記】
物理鍵を無くした時の被害投稿例として「物理Keyを失くしちゃったんでMisskeyに入れなくなっちゃいました。失《Miss》鍵《key》だけにｗ」なんて言はれたら風評被害どころじゃない。

[marihachi]

パスワードで良くない？

[rinsuki]

まあ廃止せずとも最短40文字で英数大小必須くらいにしたらパスワードマネージャ使ってないなら他の手段使えという圧になるかもしれない (本当に？)

[tamaina]

パスワードマネージャが使えないユーザー多そう(Issueの趣旨と相反する発言)

[KawaneRio]

Pros
パスワードによる乗っ取り被害はなくなる

Cons
物理キーや端末をなくしたり、キーチェーンやEメールにアクセスできなくなったりした時に詰んでしまう

良しの重みと惡しの重みが釣りあはぬ感はある・・・

ﾁｸﾁｸ言葉

（そも〱乘つ取られるやうな合ひ言葉を使ふ輩が惡い）

[marihachi]

パスワードの文字数が足りていても弱ければ意味ないし、
弱いかの判定を厳しくすると良さそう。
辞書攻撃可能か、総当り攻撃可能か、など
(なかなか難しいかも...)

[CyberRex0]

Misskeyはzxcvbn.jsって使ってたっけ
https://github.com/dropbox/zxcvbn

[marihachi]

強いパスワードと判定されてるのに、乗っ取りが起こってるのかな

[syuilo]

パスワードの強度が弱いと判定しても登録を拒否するようにはしていない

[CyberRex0]

1212…って39文字ぐらい連ねてたら強いパスワードと見なされたからあんまり信頼できないかも

[syuilo]

Off topic:
1212を39文字くらい連ねた文字列はパスワードとしては強いと思う

[KawaneRio]

愚癡

パスワードの強度が弱いと判定しても登録を拒否するようにはしていない

個人的にあの「強度が足りません」のやつ、火狐で亂數生成された合ひ言葉も「記號が入ってないから弱い」ってたまに判定されるので嫌ひ（ただの愚癡）

[marihachi]

パスワードの乗っ取りが起こると困る人:

• 乗っ取られた本人
• 鯖缶 (乗っ取られた人へのサポートが必要になる)
• Misskey開発者 (Misskeyでアカウントが乗っ取られたと公言される)

困る人が多いので、おそらく弱いパスワードは登録できなくするのが無難。

[L1n4r1A]

少なくともID=passwordは弾くようにしてほしい(実際にあって困惑した例)

[acid-chicken]

パスワードが脆弱なものでも使える問題は #4284 でどうぞ

[syuilo]

フィッシングでパスワードが漏れるケースも多いので、パスワードが強いか弱いかは関係なく乗っ取りは起きる

[yunochi]

Since Misskey uses bcrypt to store passwords, I think adding password strength rules should be sufficient.

[KisaragiEffective]

パスワードレスログインで対応できるので閉じて良さそう

[syuilo]

パスワードレスログインの設定が強制されているわけではないからなぁ

[KisaragiEffective]

でも全ての人がパスワードレスログインできるわけではないことを考えるとそれが落とし所かもしれない
あるいはパスワードレスログインを促す項目を初期登録のどこかに挟むか

[syuilo]

乗っ取られると乗っ取られた本人だけでなく、スパムの踏み台として利用されるので第三者にも被害が発生するから、セキュリティ対策をユーザー任せにするのではなく、ソフトウェアレベルで対策(e.g. パスワード以外の認証を主体とするといった、このIssueのsummaryにあるような考え方)をする必要がある

[syuilo]

とりあえずこれで緩和されそう
#14655

[syuilo]

あとログイン時にメールで通知する機能欲しい

[KisaragiEffective]

乗っ取られると乗っ取られた本人だけでなく、スパムの踏み台として利用されるので第三者にも被害が発生するから、セキュリティ対策をユーザー任せにするのではなく、ソフトウェアレベルで対策(e.g. パスワード以外の認証を主体とするといった、このIssueのsummaryにあるような考え方)をする必要がある

じゃあ多分このようなタイトルであるべき

[yunochi]

It would be nice if the instance administrator could enforce a Passkey or 2FA.

[syuilo]

実際にコンディショナルロールで2fa未設定の人は機能的に制限がかかる運用をしているサーバーはあったりするわね