パスワード変更の是非

　日頃から疑問に思っている事を書いてみようと思う。

1. ３ヶ月に１回パスワードを変更しなさい
2. パスワードはＮ文字以上
3. 英数記号を混ぜよ
4. ＩＤとパスワードの組み合わせ
5. ＨＴＴＰＳでやりとりした情報が守られる
   

以上が現在定着している事項だと思う。
　この中で、２番目の理由は簡単で、ブルート・フォース・アタックからの耐性が上がるからだ。
　３番目の理由もアルファベットのみでパスワードを構成するよりもパスワードを解とすれば、同じパスワード長でも解空間が大きくなるからで、まあ、わからなくもない。しかし、この３番目に関しては攻撃をする方がパスワードはアルファベットしか使っていないと知っている時やアルファベットのみの組み合わせでしか攻撃しない場合にしか効能が無いようにも思える。辞書攻撃を利用された場合に、どこまで効果があるのか極めて疑問で、容易に推測できない組み合わせの文字を利用する事の方が大切ではないかと思う。
　１番目の理由が意味不明で、わからない。３ヶ月に１回変更しないと、パスワードがばれるから変更するのか？パスワードがばれた時に変更すればいいではないか？では、誰かがブルート・フォース・アタックを試みていて、３ヶ月に１回パスワードを変更すれば、既にアタックを受けて攻撃済みのパスワードに推移するから安全とでも言いたいのだろうか？複数人からブルート・フォース・アタックを受けている場合は、一体誰からの攻撃に対する耐性があるというのか？
　ここで５番目の疑問に移ろう。ＨＴＴＰＳ通信の記録を全て保持されている場合に、その通信に使われていた暗号方式が簡単に破られるようになったら、その時点で、その通信内容は筒抜けだ。そうすると、こういう場合を想定して、パスワードを定期的に変更するという話であれば納得がいく。それでも、３ヶ月に１回とか、そんな頻度でパスワードを変更しなければならない意味がわからない。
　最後は４番目の疑問。パスワードの解空間を広げたいならば、２つ以上のパスワードを併用してみてはどうなのだろうか？しかし、これは改行文字を導入すれば良いだけなので、そんなに効果的とも言えないようだ。