「パスワードの定期変更、必要ですか？」専門家に聞いてみた

パスワードの脅威についてみなさんの正しい理解が追いついていないと感じています。

まず、パスワードを破ろうとする手口からご紹介します。

ひとつは、あるＩＤに対してあらゆるパスワードを試す「ブルートフォース攻撃（総当たり攻撃）」というものです。

よく使われているパスワードを試していく「辞書攻撃」というのもあります。

「ａｂｃｄｅｆ」や「１２３４５」、「ｐａｓｓｗｏｒｄ」などといった推測しやすいパスワードにしていると、すぐに破られてしまいます。

ただ、こうした攻撃ではパスワードの入力を何度も失敗することになるので、ウェブサイトによってはロックがかかるようになっています。

これを避けるため、よく使われているパスワードを固定して、それをあらゆるＩＤに対して試す「リバースブルートフォース攻撃」というのもあります。

ひとつのＩＤに対する入力の失敗は１度だけになるので、システム側からすると、サイバー攻撃を受けているのか判断しにくいのです。

私は狙われないから簡単なパスワードでも大丈夫とは考えず、簡単なパスワードのＩＤが片っ端から狙われていることを知って下さい。

これらに加えて１０年ほど前から出てきたのが、「パスワードリスト型攻撃」です。これは、あるウェブサイトからサイバー攻撃などで流出したＩＤとパスワードのセットを、別のウェブサイトに試すというものです。

インターネットの闇サイト、ダークウェブには、こうしたＩＤとパスワードが大量に流通して売買されています。

そういうことです。
メールアドレスなどのＩＤは使い回すことが多いと思いますが、パスワードはそれぞれ別のものにしておくと、例えどこかのウェブサイトから流出しても、他のサービスにまで被害が広がりません。

「出来るだけ長く」、「複雑で」、「使い回さない」という３原則があります。

「出来るだけ長く」というのは、「ブルートフォース攻撃（総当たり攻撃）」への対策です。

この攻撃はソフトウエアで自動的に行われますが、コンピュータの性能が進化するとともに、驚異的なスピードであらゆるパスワードが試されるようになりました。

しかし、例えばアルファベットのパスワードの場合でも、１桁増えるごとに２６倍の組み合わせを試さなければいけなくなります。十分に長いパスワードであれば、事実上総当たりは不可能になります。

よく聞かれる質問なのですが、程度の問題なので、覚えられる限り出来るだけ長い方が良いと答えています。具体例をあげるとすれば、アルファベットだけで８桁のパスワードだと、全て試すのに１日もかからないんじゃないでしょうか。

また、「複雑で」というのは、推測しやすい「１２３４５」などのパスワードを試される「辞書攻撃」を防ぐためです。大文字と小文字を使い分けたり、記号を入れることで推測されにくくなります。

「使いまわさない」というのは、先ほどご説明した通り、「パスワードリスト型攻撃」への対策です。

このように、対策と効果をセットで理解してもらいたいと思っています。

それにはコツがありまして、ＩＰＡがすすめているのは、日本語のフレーズをローマ字に直すというものです。例えば「リンゴが好き」は「ｒｉｎｇｏｇａｓｕｋｉ」となり、これだけで１１桁ありますよね。さらに、どこかに好きな数字や記号を入れたり、大文字にしたりすると複雑さも兼ね備えられます。

このフレーズは最低限、覚えた上で、さらに、サービスごとに識別子を付け足すといいと思います。
例えばＡサイトには「－ｇ１」、Ｂサイトには「－ｇ２」などです。これとフレーズを組み合わせて、Ａサイトにログインするときは「ｒｉｎｇｏＧａ＠ｓｕｋｉ４！－ｇ１」などとします。ウェブサイトごとの識別子が覚えられないようであれば、ウェブサイト名と識別子だけの表を紙に書くなり、エクセルでまとめるなりしてもいいでしょう。
たとえそれが流出しても、「ｒｉｎｇｏＧａ＠ｓｕｋｉ４！」というフレーズさえ流出しなければ、パスワードが破られることはほぼありません。

もしパスワード管理ツールを使うなら、そのサービスを全面的に信頼できる場合に限ってください。

注意してほしいのは、そのサービスがいきなり終了したり、自分で解約してしまったりして、保存したパスワードにアクセスできなくなることです。

また、パスワードをリセットするときは多くの場合、メールアドレス宛にリセット用のリンクを送ると思いますが、そのアドレスはきちんと管理し続けるようにしてください。

２０１７年に、米国国立標準技術研究所＝ＮＩＳＴが「定期変更を求めてはいけない」という指針を出して、セキュリティー業界では大きな話題となりました。

それからＩＰＡでも「定期変更をしなくてもいいんですよね？」と問い合わせを受けることが増えましたが、私たちとしては定期変更を肯定も否定もしないという立場です。

そうです。
まずパスワードの変更が必要な場面というのは、サイバー攻撃でパスワードが流出した可能性があったり、自分のアカウントに不正にログインされた形跡があったりした場合です。裏返せば、何もなければパスワードを変更する必要はありません。しかし、ウェブサイトがサイバー攻撃を公表しなかったり、公表しても気づけなかったりする可能性があります。いまは自身のパスワードが漏洩しているか確認できるサービスもありますが、確実とは言えません。

また、定期変更というより有効期限に近い考え方ですが、例えば会社で使用しているシステムで、人事異動や退職などで本来は削除しなければならないアカウントが、いつまでも残ってしまっている場合があります。こうした事態を防ぐため、定期的にパスワードの変更を求めて、応じないアカウントは停止するという処置を取ることもできます。

こうしたケースも踏まえると、定期変更が役に立つ場面はゼロではないと考えています。

安全なパスワードを設定する前に重要なのは、自分が使っているアカウントの棚卸しをして把握することです。いままでＩＤとパスワードを設定したウェブサイトやサービスがどれくらいあるか、把握していますか？

そういう方は多いと思います。「金銭的被害が出るもの」「影響が大きいもの」など重要度によってパスワードの強固さを変えることもできます。利用者が減少して廃れていったサービスのウェブサイトの脆弱性が放置され、サイバー攻撃を受けてＩＤとパスワードが大量に流出したケースも散見されます。パスワードを使いまわしていないとしても、利用しなくなったアカウントは削除するなどしたほうが安全です。

認証というのは、「知識」「所持」「生体」の３つの要素があります。よくあるのは、パスワードに加えて、ＳＭＳのワンタイムパスワードで認証するというケースです。これはパスワードが、認証の要素の「知識」にあたり、ＳＭＳのワンタイムパスワードは、スマートフォン（厳密にはＳＩＭカード）の「所持」にあたります。このケースでは、「知識」と「所持」の２要素で認証しているので、多要素認証にあたります。

「所持」という認証で大事なのは、デバイスの管理です。例えば銀行のキャッシュカードも、カード自体の「所持」と暗証番号の「知識」の２要素が必要なので、多要素認証と言えます。「所持」が前提だからこそ「知識」である暗証番号は、４桁の数字でもいいんです。多要素認証における「所持」の要素としてスマートフォンを使っている場合は、デバイスを大切に管理して欲しいと思います。

パスワードというのは、いつかは破られてしまうものだと思います。ただ、すぐにパスワードレス社会になるかというと、難しいと思います。まずは、多要素認証をしっかり守ることが大事だと思います。