あなたのパスワードは安全？強固なパスワードの作り方と管理術
世界で最も使われているパスワードは、いまだに「123456」だ。セキュリティ研究者が毎年発表するランキングを見るたびに、同じ顔ぶれが並んでいる。問題は「知識の欠如」ではなく、「面倒さ」にある。強いパスワードを作る方法を知っていても、実際に使い続けるのは別の話だ。この記事では、本当に機能する作り方と、日常的に管理できる仕組みを具体的に説明する。
パスワードを作る前に知っておくべき基本知識
攻撃者はどうやってパスワードを破るのか
ハッカーが「一文字ずつ試す」と思っている人は多いが、実際はまったく違う。最も一般的な手法は「辞書攻撃」と「クレデンシャルスタッフィング」だ。辞書攻撃は、よく使われる単語や語句のリストを使って高速に試行する方法で、現代のコンピューターは1秒間に数十億回の試行が可能とされている。クレデンシャルスタッフィングは、過去に流出したパスワードのリストを別のサービスに流用する攻撃で、「使い回し」が致命的になる理由はここにある。
もう一つ知っておきたいのが「フィッシング」だ。どれだけ強固なパスワードを作っても、偽サイトに入力してしまえば意味がない。技術的な強さと、運用上の注意は別の問題として考える必要がある。
「強いパスワード」の定義を正確に理解する
長さ、複雑さ、予測不可能性の三つが揃って初めて「強い」と言える。よく見る「大文字・小文字・数字・記号を含む8文字」という基準は、実はもう古い。現在のセキュリティ専門家の多くは、最低でも12〜16文字を推奨している。8文字のパスワードは、現代のハードウェアで数時間以内に解読される可能性がある。
パスワードの「複雑さ」より「長さ」の方が、解読に必要な計算量を指数関数的に増やす。12文字のランダム文字列は、8文字の複雑なパスワードより圧倒的に強い。
強固なパスワードを作るステップバイステップ
ステップ1：パスフレーズ方式を使う
「Tr0ub4dor&3」のような複雑な文字列より、「correct-horse-battery-staple」のようなランダムな単語の組み合わせの方が、実は強くて覚えやすい。これは「パスフレーズ」と呼ばれる手法で、セキュリティ研究者のあいだでは長年支持されてきた考え方だ。4〜5個の無関係な単語を組み合わせるだけで、長さと予測不可能性を同時に確保できる。
日本語で作るなら「さくら-電車-砂漠-ピアノ」のような組み合わせも有効だ。ただし、辞書に載っている一般的な単語を順番通りに並べるのは避けること。「春夏秋冬」のような慣用的な並びは、日本語の辞書攻撃リストに含まれている可能性がある。
ステップ2：サービスごとに必ず別のパスワードを使う
これが最も重要なルールだ。どれだけ強いパスワードでも、複数のサービスで使い回せば、一つが流出した瞬間にすべてが危険にさらされる。実際、大手サービスのデータ侵害は定期的に起きており、流出したメールアドレスとパスワードの組み合わせは闇市場で売買される。
「覚えられない」という反論は正しい。だからこそ、次のステップで紹介するパスワードマネージャーが必要になる。人間の記憶力に頼るシステム設計には、そもそも無理がある。
ステップ3：ランダム生成を活用する
自分でパスワードを考えると、どうしても「予測可能なパターン」が入り込む。誕生日、好きなスポーツチーム、ペットの名前。攻撃者はこうした人間の癖を熟知している。パスワードマネージャーに内蔵されているランダム生成機能を使えば、こうしたバイアスを完全に排除できる。
パスワードマネージャーの選び方と使い方
パスワードマネージャーとは何か
すべてのパスワードを暗号化して保存し、必要なときに自動入力してくれるアプリだ。ユーザーは「マスターパスワード」一つだけを覚えればいい。主要なパスワードマネージャーは、ゼロ知識暗号化を採用しており、サービス提供者側でもパスワードの中身を見ることができない設計になっている。
よく「パスワードマネージャー自体がハッキングされたら？」という疑問が出る。実際に過去、一部のサービスでインシデントが発生したことはある。ただし、暗号化されたデータが流出しても、マスターパスワードなしには解読できない。リスクをゼロにすることはできないが、「使い回し」のリスクと比較すれば、マネージャーを使う方が圧倒的に安全だ。
主要なパスワードマネージャーの特徴
現在広く使われているのは、Bitwarden、1Password、Dashlaneなどだ。Bitwardenはオープンソースで無料プランが充実しており、技術的な透明性を重視するユーザーに支持されている。1Passwordは家族プランや企業向け機能が充実しており、複数人での共有管理に向いている。どれを選ぶにしても、まず一つを試してみることが大切で、完璧な選択を探して何もしないのが最悪の状態だ。
パスワードマネージャーのマスターパスワードだけは、絶対に紙に書いて安全な場所に保管しておくこと。デジタルだけに頼ると、アクセスを失った瞬間にすべてが消える。
よくある落とし穴と避けるべき習慣
「少しだけ変える」使い回しは意味がない
「Password1」を「Password2」に変えるのは、変えていないのと同じだ。攻撃者が使うクレデンシャルスタッフィングツールは、こうした「バリエーション」を自動的に試す機能を持っている。末尾に「!」を追加したり、「o」を「0」に置き換えたりするパターンは、すでにリストに含まれていると思った方がいい。
二段階認証を必ず有効にする
強いパスワードと二段階認証（2FA）の組み合わせが、現時点での最強の防御だ。SMSによる認証コードは便利だが、SIMスワッピング攻撃に対して脆弱な面がある。可能であれば、Google AuthenticatorやAuthyのような認証アプリを使う方が安全性が高い。主要なサービスのほぼすべてが2FAに対応しているにもかかわらず、有効にしているユーザーは依然として少数派だ。
定期的な変更は「必ずしも」必要ではない
「パスワードは3ヶ月ごとに変えるべき」というルールを聞いたことがある人は多いだろう。これは古いガイドラインで、現在は多くのセキュリティ機関が見直している。頻繁な変更を強制すると、ユーザーが「Password1→Password2→Password3」のような予測可能なパターンに陥りやすくなるからだ。変更が必要なのは、流出が疑われるときや、実際にインシデントが発生したときだ。
(Opinion: セキュリティのルールが「現実の人間の行動」を無視して設計されてきた歴史は長い。「複雑なパスワードを90日ごとに変えろ」というポリシーは、結果的にユーザーを安全から遠ざけた。技術的に正しいことと、人が実際に続けられることは、まったく別の問題だと思う。)
よくある質問
Q. パスワードマネージャーのマスターパスワードを忘れたらどうなる？
ほとんどのパスワードマネージャーは、ゼロ知識設計のためサービス側でもリセットできない。事前に「緊急アクセスキット」や「リカバリーコード」を印刷して安全な場所に保管しておくことが必須だ。これを怠ると、すべてのパスワードへのアクセスを永久に失う可能性がある。
Q. ブラウザ内蔵のパスワード保存機能では不十分？
ChromeやSafariのパスワード保存は便利で、何もしないよりはるかに良い。ただし、専用のパスワードマネージャーと比べると、クロスブラウザ対応、セキュリティ監査機能、共有機能などで劣る面がある。特定のブラウザに依存したくない場合や、複数デバイスを使う場合は専用ツールが有利だ。
Q. 自分のパスワードがすでに流出しているか確認できる？
'Have I Been Pwned'（haveibeenpwned.com）というサービスでは、メールアドレスを入力するだけで、過去のデータ侵害に自分の情報が含まれているか確認できる。このサービスは広くセキュリティ研究者に信頼されており、確認だけなら無料で使える。流出が確認されたサービスのパスワードは、すぐに変更することを強く勧める。
パスワード管理は「一度やれば終わり」ではない。新しいサービスに登録するたびに、流出ニュースを見るたびに、少しずつ見直す習慣が必要だ。完璧なセキュリティは存在しないが、攻撃者にとって「面倒なターゲット」になることはできる。そして現実には、攻撃者は面倒なターゲットを避けて、簡単なターゲットを探す。あなたのパスワードが「123456」でなければ、それだけで大多数のリスクはすでに回避できている。
コメント
コメントを投稿