ITマネジャーは、ユーザーがこんなふうにハッカーの餌食になるのは防げないかもしれない。しかし、Windowsで強制できるパスワードポリシーを導入することは可能だ。ただ、パスワードの設定ルールを厳しくするほど、ユーザーにとって負担が大きくなり、ヘルプデスクへの電話が増えることになる。

　パスワードの再設定は、ヘルプデスクへの電話で最も頻繁に依頼されることの1つに違いない。何年も前に小さなメーカーでネットワーク管理を担当していたとき、1人のエンジニアがある日わたしのところにやって来て、わたしが課した厳しいパスワード設定ルールについて苦情を訴えた。「パスワードの再使用に関する制限（1回使ったパスワードは別のパスワードを何回か使った後でなければ再使用できないという制限）を緩めてもらわないと、もっと子どもを作らなければならない」と言った。覚えておけるパスワードがもうないというのだ。わたしは彼に同情したものの、セキュリティを維持する必要性をあらためて認識した。

　このように、セキュリティを強化するとユーザーのストレスが増してしまう。とはいえ、無料のパスワードクラッキングツールをダウンロード配布しているハッカーのWebサイトがたくさんあるなど、パスワードを狙う攻撃はやはり大きな脅威だ。

　パスワードのセキュリティを確保するに当たっては、ユーザーの利便性と、パスワード破りに血道を上げる攻撃者を撃退する必要性のバランスを取らなければならない。こうした攻撃者は実のところ活発に動いており、大掛かりな集会を開いたりもしている。

複雑なパスワードが必須

　セキュリティ関係者の間では、ユーザーになるべくストレスを感じさせずに、強力なパスワードの作成を徹底する方法がさまざまに議論されている。現在使われているほとんどのパスワードは、アルファベットを数字や記号に置き換える工夫を取り入れた1つの単語だ。例えば、アルファベットの「O」を数字の「0」に、「A」を「@」に、「I」を「!」に置き換えるといった具合だ。

　パスワードクラッキングツールの1つとして、パスワード辞書がある。これらはハッカーが作成しており、Webで簡単に入手できるようになっている。この辞書には、「Chicago」「Yankees」「John」「Sally」「Johnson」といったパスワードによく使われる単語が含まれている。ほとんどの企業は社内のユーザーに、（技術的に強制する方法はないが）家族や友人、野球チームなどの名前をパスワードにしないよう求めている。だが、ユーザーが「Ch!c@g0」や「Y@nk33s」といったパスワードを作るようになったとき、ハッカーもこうしたバリエーションを発見した。

　ハッカーに既に発見されたパスワードをユーザーが使っている場合、辞書攻撃がヒットするのにどれだけの時間がかかるかが、ユーザーのセキュリティを左右する。短時間でヒットすれば、ユーザーは危険にさらされてしまう。このため、辞書に含まれていそうなパスワードを使わないことが第1のルールということになる。もちろん、セキュリティ上は無作為に文字、記号、数字を並べたものがベストだが、これは覚えにくい。こうしたパスワードを使うとなると、ユーザーはそれをメモしてPCに張るだろう。

　パスワードに使える文字は、アルファベットの大文字が26個、小文字が26個、記号が32個、数字が10個、つまり合計94個だ。一般的な文字だけを考えるとしても76個ある。94個の文字で8けたのパスワードを作ると、6095兆6893億8541万816（94の8乗）通り、76個の文字では、1113兆0347億8745万4976（76の8乗）通り作れる。

パスワードの代わりにパスフレーズを考える

　Microsoftのセキュリティ専門家ジェスパー・ヨハンソン氏によると、一部のクラッキングツールはそこそこの処理能力のハードウェア上でも、1秒間に300万個のパスワードを生成して試すことができる。だがこのペースでも、ブルートフォース（総当たり）攻撃によって76文字で作成可能な8けたのパスワードをすべて試すには、6年以上かかる。ただし統計上、特定のパスワードが発見されるのにかかる時間はその半分だ。

　一方、ヨハンソン氏によると、7けたのパスワードをすべて試すには、28日しかかからない。Microsoft TechNetには、同氏がパスワードのセキュリティを分析した3回シリーズの記事「The Great Debates: Pass Phrases vs. Passwords」（大論争：パスフレーズ vs. パスワード）が掲載されている。これは大いに参考になるものだ。

　この記事で述べられているように、強力なパスワードを作るもう1つの方法は、パスフレーズを使うことだ。例えば、「Abr@h@mL!nc0ln」（エイブラハム・リンカーン）の代わりに、「Four Score and Seven Years Ago」（87年前：リンカーン大統領によるゲティスバーグ演説の最初のフレーズ）を使うといった具合だ。この例では、スペースを含めて30けたのパスワードになる。幾つか記号や数字を混ぜれば、パスワード破りを防ぐのに絶大な効果がある。

安全なパスワードを作るコツ

　パスワードポリシーに唯一の正解はない。だが、パスワードの基本的なルールとして以下のようなものがある。

• 一般的な単語を使わない。一般的な単語を基にする場合は、単にアルファベットの「O」を数字の「0」で代替したりするのではなく、スペルを変える
• パスワードを変更する際、「%Rumplestiltskin55」から「$Rumplestiltskin44」へというように、これまでのものから推測されやすいものを新しいパスワードにしてはならない
• 人名や固有名詞を使わない。例えば、姓、名、都市名、チーム名など
• 意味が自分には分かり、ほかの人には分からないような文字列を使う
• 複雑な文字列を使っていれば、パスワードの長さは8～10けたで十分

　Windowsではパスワードのセキュリティを高めるために、複雑さの要件や長さに加え、アカウントロックアウト、パスワードの有効期間、変更禁止期間なども強制できる。

本稿筆者のゲーリー・オルセン氏は、Hewlett-Packard（HP）のGlobal Solutions Engineering部門のシステムソフトウェアエンジニア。著書に「Windows 2000: Active Directory Design and Deployment」、共著書に「Windows Server 2003 on HP ProLiant Servers」がある。Microsoft MVP for Directory Servicesを受賞しており、Microsoft MVP for Windows File Systemsの受賞経験もある。