MSアカウントのPINは数字4桁で本当に安全？

質問

質問
(1)MSアカウントのPINは数字4桁で本当に安全なのか？
(2)MSアカウントにパスワード(PW)でサインインした場合に対してPINでサインインした場合は使える機能に制限がある（だから安全）のか？

説明
(1)「MSアカウントのPW/PINが漏洩した場合の被害を比べるとPINはデバイス固有なのでPINが安全。またTPM(Trusted Platform Module)により保護されているので数字4桁でも安全。PINの長さ・複雑さは問題ではない」との説明ですが、問題はPW/PINの漏洩でなく、デバイスの盗難・紛失時に他者にデバイスを乗っ取られてしまうかどうかです。
　モバイルHDD/USBメモリ/Windows XPのログインIDなどのPWも同様にデバイス固有ですが、これらのPWを数字4桁にするなど考えられません。またTPMも総当たりで試すのに時間を要するというだけで、時間をかければ（運が悪ければ短時間で）サインイン出来てしまうようです。
　デバイスの盗難・紛失を考えた時に本当に数字4桁のPINで安全(=PINの長さや複雑さは重要ではない)なのでしょうか？

(2)「MSアカウントのPW/PINが漏洩した場合の被害を比べるとPINはデバイス固有/ローカル認証なのでPINが安全」との説明です。しかし、いろいろ試しましたが、PWでのサインインとPINでのサインインに差異を見つけられませんでした。
　・回線オフにしてもPINでもPWでも同じようにサインイン出来る。
　・PINでサインインしてもOneDriveにアクセス出来る。
　・PINでサインインし、設定→アカウントでアクセスすると、デフォルトではPINでもMSアカウントにサインイン出来てしまう。
本当にPINの漏洩の方がPWの漏洩よりも安全なのでしょうか？

※OKWAVEより補足：「富士通FMV」についての質問です。

回答No.2

m5048172715 · ベストアンサー

数桁の暗証番号はそれほど安全では無いと私は思う。

その運用・管理をインターネット経由の認証サーバーが行っても、目の前のPCが行っても、同じである。アホらしい。

ユーザーが安心できるのは、パスワードでは無くて、強力な暗号化です。

お礼

回答ありがとうございます。

神戸大学・森井教授の「PIN（暗証番号）がパスワードより安全？そんなバカな！」（https://news.yahoo.co.jp/byline/moriimasakatsu/20170720-00073444/）を読んでも、「パソコンが常に自分の監視下に置かれていることを仮定」した説明であり、そうで無い場合は「4桁のPINでは高々1万通りしかなく、偶然でも当たる（推定される）可能性があり、安全ではない」とあります。

テレワーク全盛ですが、セキュリティをまともに考えている会社で、社員の業務用PCのPINを数字4桁でOKとしている会社ってあるんでしょうか？ひょっとしてMSアカウントそのものを許可していない可能性もありそうですね。MS社や富士通の状況を知りたいものです。

ネットの書き込みで調べてみると「MSアカウントのPWがサーバやネットで漏洩したらMS社の責任。そのMS社の責任リスク回避のためMS社はPWからPINへの移行を推進している」ようです。PINに移行させたいので「数字4桁でも安全・長さや複雑さは問題ではない」と宣伝しているのでしょう。PCが盗難・紛失して数字4桁のPINでPCがのっとられてもPCの盗難や紛失はMS社の責任ではない、ということなのでしょう。

回答No.4

msMike

[No.3]の富士通FMVサポートの囘答は、質問者の疑問に對して、的外れだと思ひます。

Mimizuku-33さん、下記のＭＳの記事が參考に成りませんか？
[PIN がパスワードより安全な理由]
https://docs.microsoft.com/ja-jp/windows/security/identity-protection/hello-for-business/hello-why-pin-is-better-than-password

お礼

回答ありがとうございます。このMS記事は既読です。"Windows Hello for Business"も既読です。

　知りたいのは、なぜPINは1111や1234（単純並び）や数字3桁以下は不可で、単純並び以外の数字4桁なら問題無いか、数字5桁以上にする必要が無いか、の理由です。このMS記事には何の説明もありません。
（参考）https://www.atmarkit.co.jp/ait/articles/2002/21/news019.html
「「1234」や「1111」といった単純な並びでは、「複雑さの要件を満たすPINを指定してください」というエラーが表示される」

　数字4桁だと、1億人のMSアカウントがあれば1万人のMSアカウントが同じPINを使っています。なぜ1万人が同じ発想するPINはOKで、100万人が同じ発想をする1111や1234はダメなのでしょうか？

回答No.3

Fujitsu_FMV_QA

こんにちは。富士通FMVサポートです。
FMVをご利用いただき、ありがとうございます。

bardfishさん、回答ありがとうございます！

PINは、パスワードのように、4桁を超えて設定することが可能です。
4桁の数字ではご不安な場合は、桁数を含めた、PINの変更を
ご検討ください。

　◆[Q&Aナンバー:6010-8272]

　　[Windows 10]
　　ユーザーアカウントにPINを作成したり、削除したりする方法を
　　教えてください。

　http://www.fmworld.net/cs/azbyclub/qanavi/jsp/qacontents.jsp?PID=6010-8272&rid=233

お礼

TPMの動作が公開されていないので数字4桁のPINの安全性が良くわかりません。ネット情報では「32回の入力でロック。以後2時間毎に1回の再入力可能」との書き込みもあります。
　「32回でロック」を前提に考えるとPCを盗難・紛失した場合に乗っ取られるリスクは数字4桁のPINだと0.3%程度（時間をかければ100%に近づく）と思われます。これを生体認証で考えれば「他人受容率が0.3%」相当と思われます。しかし、生体認証での他人受容率は0.001%～0.0001%が常識であり、他人受容率0.3%など商品としてありえないのではないでしょうか。
　なぜPINだと数字4桁でも安全などという神話がまかり通っているんでしょう。不思議です。PINの設定値として他人受容率0.001%以下に相当するような値をデフォルトとして推奨すべきではないでしょうか。MS社の言葉を鵜呑みにするのでなく富士通のマニュアルにはその辺を考えて記述してもらいたいものです。

　私のPINの値は勿論数字4桁でなど設定しておりません。

回答No.1

bardfish

MSアカウントでのログインはMicrosoftのネットワークサービス(LiveメールとかOneDriceなど)と同じものです。
この情報が漏れたり抜き取られるとMicrosofdtアカウントで利用しているルツとサービスのすべてを乗っ取られる可能性があるということです。

対してPINというのはパソコンローカルで完結しているためPINコードからMicrosoftアカウントを乗っ取られるリスクというのはかなり減ります。

この場合のリスクというのは、Windowsログインでパスワードを入力する際にキー入力をスキミングされているというリスクに対してです。
マルウェアなどのソフトの中には、キーボードから入力された文字を収集して密かに送信するものが昔からありました。
PINなら仮にそうやって送信されたとしてもMSアカウントとの関連性がないので直接不正アクセスされることは有りません。
PINの数字はネットワークのどこにも存在せず、目の前にあるパソコンの中にしかないのです。
PINが盗まれたとしてもルットワーク経由でアクセスしようにもPINコードは認証として使用されていないのでPINだけでは不十分。

だからパスワードとPINコードは別物ですから、再インストールやMSアカウントのパスワードの再発行のときにPINはなくても問題ない。
Windows Helloの生体認証だとチョット違ってくるんですけどね。

お礼

ご回答ありがとうございます。
パソコンが常に自分の管理下にあり他人が接触できる可能性が皆無ならばご回答の通りです。

逆に、パソコンが常に自分の管理下にあると保証出来るなら、PINは1111でも1234でも数字3桁以下でも問題無いと思われます。