子供が安全にパスワードを保管するには？

本家/.「Ask Slashdot: How To Keep Students' Passwords Secure?」より

息子の通う小学校ではオンラインリソースの活用を進めており、生徒にChromebookやiPad(学年によって異なる)を割り当てている。場合によっては、教科書を持っていても家に置いたままで、複数のWebサイトで教科書を閲覧するためにユーザー名とパスワードが割り当てられていることもある。さらに、学校で用意されているいくつかのリソースを利用するためのユーザー名とパスワードもある。こういったWebサイトの多くはそれぞれ異なる外部のサービスを利用しているため、子供たちは数多くのユーザー名(サービスごとに形式も異なる)とパスワードを持つことになる。各サービスは小学生の子供たちに対してパスワードを安全に保管し、他人と共有しないことが必要であると強調するが、学校ではユーザー名とパスワードをノートに書かせているようだ。これは非常に悪い習慣と思われるが、学校で提供されるリソースにアクセスするためのパスワード管理方法や、無償または最低限のコストで利用できるシングルサインオンプロセスなどで良いものはないだろうか。

パスワードマネージャ導入

[celtis (33470)]

LastPassのような生成から管理まで一括管理できるツールを使えばいいと思います。
複雑なパスワードを気軽に使えますし、使い回しをしなくても済むとわかればプライベートでも利用が進みそう。

セキュリティ教育は一般ユーザーに面倒だと思わせたらダメ。
内線電話の裏とかキーボードの裏にポストイット貼るやつが後を絶たない…。

Re:パスワードマネージャ導入

[plauda (46850)]

パスワードを一括管理するツールは、認証方法がサービスによってまちまちなので妥当なところだと思います。
ただ、個人の不正なパスワード運用を撲滅することにはならないので、
入管・入室カードで、セキュリティルームへの入室を制限する対策が必要でしょう。

※以下、理由

パスワード一括管理ツールは、特定端末からのアクセス許可、あるいは
セキュリティカード(外部記憶)によるアクセス許可と同義だと思われます。

例えば、特定端末のみにアクセス許可をしているのと、特定端末にパスワードを記憶させるのとは同義で、
アクセス者が人目に触れないように携帯したセキュリティーカードで認証するのと、
アクセス者が人目に触れないように携帯したポストイットで認証するのとは同義でしょう。

逆に、特定端末のみのアクセス許可をしていて、その端末のログインが自由だったり、
セキュリティカードがアクセス者以外も触れられる状態だったら、人目に触れる場所に
ポストイットを張るのと大差はないでしょう。

セキュリティ教育は、どちらかというとセキュリティ事故を管理者の責任でなく、
アクセス権保持者の責任にするためのもので、それでセキュリティポリシーに
反するパスワードの個人管理を撲滅することにはなりません。
撲滅したことにはならない以上は、別の対策が必要になります。
それで、落とし所として、入管・入室カードみたいなもので、
ポストイットが見れてはいけない人が入れないようにしているのだと思います。