2018年08月29日 08時00分 公開
特集/連載

それでもパスワードは滅びぬ弊害だらけの「複雑なパスワード」と時代遅れの「定期変更」からの解放

パスワード認証がなくなることは当分ないだろう。このパスワードとうまく付き合うには、覚えにくいパスワードや定期的な変更の強制という時代遅れな運用をやめ、多層防御に移行する必要がある。

[Maxine Holt,Computer Weekly]

 パスワードが今すぐ廃止されるとは考えにくい。パスワードがアクセス制御の重要な部分を占めるという組織はまだまだ多い。

Computer Weekly日本語版 8月22日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 8月22日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。

ボタンボタン

 しかし、パスワードポリシーやパスワード管理が十分でない企業も少なくないことが知られている。パスワードポリシーが見直され、更新されることはめったにない。また、このポリシーは、ランダムかつ複雑で人間が覚えにくいパスワードを設定すべきだという、時代遅れの助言に従っている。

 複雑なパスワードを強制することは、そのパスワードを思い出そうとする個々のユーザーだけではなく、組織全体にとっても好ましくない場合がある。パスワードが思い出せなければパスワードをリセットすることになり、サービスデスクのコストが増大するからだ。パスワードの更新時に、期限切れとなった以前のパスワードに「1を加える」程度の変更しかしないことも珍しくない。このようなやり方は、パスワード突破のリスクを高める。期限切れのパスワードが手掛かりになるからだ。

 英国立サイバーセキュリティセンター(NCSC:National Cyber Security Centre)が公表している指針は、ユーザーを「パスワードの過負荷」から解放することを強く推奨している。具体的には、パスワードを定期的に無効にする運用をやめて、パスワードが侵害された疑いがある、または侵害が確認された場合にのみパスワードを変更することを推奨している。

 侵害はさまざまな手段で行われる。パスワードを聞き出そうとあれこれ誘惑する攻撃者の行動は、ソーシャルエンジニアリングと呼ばれる。その手口は、パスワードを教えてくれたらチョコレートを差し上げますという街頭アンケート調査から、特権的なアクセス権限を持つユーザーに狙いを定め、念入りにもっともらしく仕組まれるでっち上げ行為に至るまで、何でもありだ。

 他の例としては、ブルートフォース攻撃(「総当たり」の意。あるユーザーIDに対してパスワードが一致するまで自動的に次々と試す)、ユーザーが暗号化せずに保管しているパスワードを探す(安全なパスワード保管庫以外の場所に保存してあるなど)、パスワードの傍受(平文で送信されているもの)などがある。

 昨今は、パスワード管理方法の改善に力を入れて、バイオメトリクス(例えば指紋認識)やマルチファクター認証(例えばパスワードとトークンの組み合わせ)といった、新たな方式を採用する企業も増えている。パスワードは、セキュリティ制御の他の機能と同様に、多層化することで効果が高まる。

 アクセス権限を得る手段としてパスワードのみに頼っていいのは、

注目テーマ

ITmedia マーケティング新着記事

news018.jpg

イマドキ女子のスマホプライムタイムは「22時」――インテージ調べ
インテージは、15〜24歳“イマドキ”女子のスマートフォンの利用実態を調査しました。

news135.jpg

カタリナ マーケティング ジャパンとデジタルインテリジェンスが提携
カタリナ マーケティング ジャパンとデジタルインテリジェンスは提携し、テレビCMとデジ...

news121.jpg

IMJとブレインパッド、「Rtoaster」と「Salesforce Marketing Cloud」のデータ連携パッケージを共同開発
アイ・エム・ジェイとブレインパッドは「Rtoaster」と「Salesforce Marketing Cloud」の...