パスワードセキュリティにかかわる問題は、あまりにもシンプルであるが故に、実際は逆説的に難しい。セキュリティに関していえば、世界で最も危険なことは「自分は十分に理解している」という勝手な思い込みだ。それ故に自分の知識に疑問を抱くことがない。事実、ITセキュリティの専門家にパスワードのことを理解しているか聞いてみればよい。ほとんどの回答は、自信に満ちあふれた断固たる「イエス」だろう。しかし、もしそれが本当なら、なぜパスワードにかかわる情報漏えい事件がこれほど多発するのか？

　本稿では、パスワードという技術自体の問題について議論するのではなく、人が関与する運用部分に注目したい。多くの人は、いまだに劣悪なパスワードを用いている。2013年に最も多く利用されたパスワードは“123456”だった。その次に多かったのは“password”で、3番目に多かったのは“12345678”だった。そしてもちろん、毎年多くの人々が利用する脆弱なパスワードのリストには、“iloveyou”や“letmein”、“abc123”などの常連が顔を並べる。

　では、なぜユーザーはパスワードについて、それほど深く考えようとはしないのか？　まさか自分のパスワードが追跡されているなど、セレブも含めて誰も思っていないから、ということもあるだろう。昔からよくある「まさか自分の身に起こることはないだろう」という根拠のない自信だ。しかし一方で、セキュリティ専門家のパスワードに関するメッセージにも問題がありそうだ。

　セキュリティ業界が反省すべき点の1つは、何ら現実的なアドバイスを示すことなく、ユーザーに複雑なパスワードを使用するように求めてきたことだ。複雑すぎて覚えきれないパスワードをユーザーに強制した結果が、先の“123456”のようなパスワードである。まれに複雑なパスワードを使用するユーザーもいるが、大抵は短過ぎたり、ネットショップやオンラインバンキングなど、自宅や会社からアクセスする複数のWebサイトで同じものを使い回していたりする。そのような状態では、どこか1つのWebサイトでパスワードを破られると、全ての利用サービスに壊滅的な結果が及びかねない。

複雑なパスワードの正体

　「複雑なパスワード」という表現は、IT業界において恐らく最も誤解されている言葉であり、今日のパスワードを巡るさまざまな問題の元凶だろう。ほとんどの場合、複雑なパスワードは「記憶できないもの」と同義語になっている。だが、パスワードにとって重要なのは、「複雑さ」よりも「推測されない」ことである。（パスワードの予測不可能性を測る“パスワードエントロピー”が役に立つだろう）。それが優れたパスワードのカギとなる。

　予測不可能なパスワードを記憶することは、ユーザーにとっても実はそれほど難しくない。大文字、小文字、数字、特殊文字の組み合わせ（古典的ルール）でよい。このルールを変更する必要は全くない。例えば、ここで“Iwentfishing4timeslastmonth?”（先月4回釣りに行った）という文字列を考えてみよう。このパスワード（より正確には、パスフレーズというべきか）は簡単に記憶できて、入力も容易だ。しかし、予測することは難しく、かつ常に推奨される大文字、小文字、数字、特殊文字を含んだ「複雑なパスワード」である。

　ユーザーが覚えやすい短い文や言い回しで十分なのだ。それに複雑さのルールを付け加えるだけで、あっという間に、ハッカーの辞書に載っていない、そしてブルートフォース（総当り攻撃）以外で破ることのできない、非常に強固なパスワードが出来上がる。前出の“Iwentfising4timeslastmonth?”は、セキュリティ製品を開発している米Gibson Researchのブルートフォースパスワード計算機（Interactive Brute Force Password Search Space Calculator）によると、毎秒100兆回の実行速度でも、ブルートフォース攻撃におよそ“76.43×100万×1兆×1兆”世紀を要するという。かなり強固なパスフレーズである。

　ユーザーはこうした特性の文字列と公式を用意し、サイトごとに意味のある変更を加えて用いればよい。例えば、Facebookのパスワードなら、“FB”という文字列と自分の卒業年次を加えて、“FB89Iwentfishing4timeslastmonth?”にするなどだ。この例よりも、もう少し複雑な公式を推奨したいところだが、コンセプト自体はそれでよい。この手法を用いれば、非常に強固で、かつ覚えやすく、入力が容易なパスワードを、サイトごとに個別に作成することができる。これで完璧なセキュリティが実現するかといえば、もちろん答えは「ノー」だ。しかし、“123456”というパスワードを30カ所の異なるサイトに用いていることに比べれば、はるかに安全であることは間違いない。

　もう1つのテクニックは、もし可能であれば、ユニークなユーザー名を作成することである。多くのサイトはユーザー名として電子メールアドレスを要求するが、金融機関などではユニークなユーザー名を許容しているところもある。ユーザーが全てのサイトでユーザー名に電子メールアドレスを用いていたら（同じパスワードを用いていたら、なおさらのこと）、その情報がどこかで破られた場合、芋づる式に他のサイトにも危険が及ぶ。金銭のやりとりがあるサイトでユニークなユーザー名を用いることは、サイトごとに異なるパスフレーズを用いることと同様、良いアイデアである。

　セキュリティコミュニティーの一員として、われわれ専門家は、ユーザーに優れたパスワードの作り方を教えるメッセージを送り続けなければならない。“123456”といったパスワードがいかに無力なものであるかを認識してもらう一方で、覚えられないパスワードを使う必要がないこともユーザーに理解してもらうべきだ。そうしたメッセージを正しく伝えるために、われわれ自身も予測不可能なパスワードについて、もっと深く理解しなければならない。そうすることで、はじめてわれわれはユーザーにメッセージを正しく説明できるようになるからだ。

本稿筆者のキース・パームグレン氏は、公認SANSインストラクターで、米コンサルティング会社NetIPの経営者。ITセキュリティ分野における経験は30年に及び、CISSP、GSEC、GSLC、GCIH、GCED、GISF、CEH、Security+、Network+、A+、CTT+などの国際セキュリティ資格を有する。