スラッシュドット・ジャパン

パスワードのみ紙に書いて財布に入れておく

これ実際にやっています。
使用用途はオンラインゲームのパスワードですが・・・

コンピュータウィルスによるアカウントハッキングが多いゲームなので、
パソコン内にテキストファイル等でパスワードを残すという事は考えられません。

銀行、クレジットカードなどの物はそれぞれ別々のパスワードを
十数桁以上のランダムな、大文字、小文字英数、記号入りを暗記しています。
（銀行やカード会社は出来る限り、一社に絞るのも大事です）
もし、コンピュータウィルスなどで流出してしまったら、大変な事になるので、
これは忘れた場合は銀行やカード会社に電話等の対応で仕方がないでしょう。

あと、一般的なWebサイトのパスワードはAI Roboform [roboform.com]の有償版に保存しています。

　指紋認証とパスワード管理とがセットになっている、Thinkvantage Client Security Solution [ibm.com]を利用しています。

　無償ですし。

Web系のIDやパスワードは忘れたら登録しておいたメールアドレス宛に即時再発行が出来るものとかが多いので、そういうのは片端から毎回ランダムパスワードを生成したのを入れて次に使う時には再発行ですね。
どうしても憶えておかなければならない最小限を除いて、パスワードは「憶えない」「管理しない」というノーガード戦法を採用しております。

いろいろやって、これに落ち着きました。

もうほとんど T/O という感じだが、やっぱ、これしかない。Safari, Firefox （ほかにも Camino とか…）で使えるし、Dropbox を入れればほかのコンピュータとでも同期できる。iPhone だって 1password app あるし。むかしは僕も、こういうパスワード記憶ツールは邪道だと思っていた時期もありました。でもね、やっぱし使い始めると、もうだめ。しかもセキュアだし。

Windows の人はきっと誰かが教えてくれるよ！

パスワード２種類を組み合わせて運用してます。
脳内に保存する共通鍵１つと、サービスごとに個別鍵を考えて、個別鍵のみ紙に記録しています。
実際に入力するときは二つをつなげて。

手帳の個別鍵を見られても脳内の秘密鍵さえバレなければ問題ないです。
万が一秘密鍵がバレたとしても秘密鍵部分さえ変更すれば共通鍵はそのまま使いまわせます。

以下のような計算でサービスごとのパスワードを作っています。 (実際にはもうちょっと複雑なことをしています)

Base64(MD5(サービスの名前やドメイン名(の一部や略称) + 共通のパスワード))

英数字しか受けつけないとか N 文字までしか受けつけないアホなサービスが多いので、 英数字以外を除去して最初の 12 文字くらいを利用しています。

個人管理のものはもう大体これでいいなという方法があるんですけど、組織で管理するパスワードがいまだにどうにもこうにもよい方法が見つかりません。

覚えてもらおうと思うと変更しづらいものになります。

覚えることは放棄して基本完全ランダムで生成してますが、時間制限のあるなかでトラブルシュートする場面なんかだとパスワード入力画面になるたびに機器設置の担当さんからの視線が痛かったりすることもあったりなかったり。

mkpasswdコマンドで生成したものをいくつか使いまわしています。

スラド -> 1つめ、銀行 -> 2 つめ

みたいにして、数週間ごとにローテーション。機会があるごとに生成しなおし。

対応関係を忘れても覚えてるものをかたっぱしから入れるとなんとかなります。
# いろいろ邪道なのかなあ。

月に一度パスワード変更が求められる場合は、
「睦月」「如月」「弥生」……
を元にした略号を前か後に付けたりとか。
#01, 02, 03…と変えると、システムによっては「一文字だけの変更は受け付けない」なんて事もあるので

先日のHotmailやGmailでの漏洩の話も、パスワードが同じだったことが原因の一部だと指摘されてたような(ソース失念)

まあ、ツールの補佐がないとほぼ不可能だとは思うのですが、昨今のサービスの隆盛を考えると、同じIDで別サービスにログインされるのもかなり問題ありそうだし

中に悪い人が居た場合に、芋づる式に悲惨なことになりませんか?

堂々と貼ってある‥付箋紙にセロテープまでつけて貼ってあるのがありました。
某社の基幹システムでorz