システム開発者でも安易なパスワードを設定することがある

　組織内のシステム開発者やシステムを構築するベンダーにも、こうした状況が散見される。システムエンジニア（SE）などIT関連職に就いていることと、セキュリティの意識が高いこととはイコールではない。非常に残念なことだが、一般のエンドユーザーと同様に、単純かつ安易なパスワードを利用してしまうことがある。

　特にシステム開発はチームで進めることが多いため、開発チーム内での共有のために、複数のサーバで同じパスワードを使うことがある。ある開発チームが構築したシステムは、慣習的に全て同じパスワードを利用していたというケースも過去に見たことがある。開発の途中だけでなくシステムの運用開始後であっても、そのチームのエンジニアであれば、誰でも設定を変更できるようにするためだ。このような理由で安易に共通パスワードにしてしまう行為が、ID／パスワード認証の安全性を崩壊させてしまうことになる。

　あらゆるモノが相互につながる「モノのインターネット」（IoT： Internet of Things）の分野では、状況がさらにひどくなる。ネットワーク接続デバイス（IoTデバイス）のメーカーは、初期設定パスワードが同じ状態で全てのデバイスを出荷していることがある。しかもインターネットで公開されている説明書に、そのパスワードが記載されていることも少なくない。攻撃者はこうした不備を突き、デバイスを自由に操作してサービス拒否（DOS）攻撃などの攻撃活動に利用している状況だ。

「メールアドレスID化」と「パスワード使い回し」による問題

　認証強度を向上させる手段として、複数の認証要素を使う「多要素認証」、複数の認証ステップを設ける「多段階認証」といった仕組みがある。ID／パスワード認証はパスワードだけでなくIDも入力することから「多要素認証と同様の効果を持っているのではないか」と考える人もいるだろう。IDとパスワードの2つがそろって、初めて認証が通るからだ。

　実際にはID／パスワード認証を多要素認証と見なすことは難しい。多要素認証は、エンドユーザーが記憶する「知識要素」、物理的に所有する「所有要素」、指紋や虹彩といった「生体要素」といった複数の固有要素から、異なる固有要素を組み合わせて実現するのが基本だ。ID、パスワードは双方とも知識要素であることがほとんどであり、忘却や漏えいといった知識要素特有の課題をカバーすることができない。

　ID／パスワード認証の安全性が損なわれている背景には、IDをメールアドレスにすることの常態化が挙げられる。なぜならメールアドレスは、誰かが自分に連絡をするためのものであり、公開を前提としているからだ。そのためIDがメールアドレスだった場合、悪意を持った誰かが不正アクセスを試みる際に、IDとパスワードという2つしかない障壁の1つは既に破られていることになる。

　メールアドレスをIDとして利用してしまうと、既知のID／パスワードのリストを利用して不正ログインを試みる「パスワードリスト攻撃」（アカウントリスト攻撃、リスト型アカウントハッキングとも）にもつながりやすい。パスワードリスト攻撃は、あるWebサイトから流出したID／パスワードのリストを入手し、他のWebサイトへの不正アクセスを試みる行為だ。

　例えば複数のWebサイトに会員登録しているエンドユーザーがいるとしよう。もし全てのWebサイトでIDをメールアドレスにしていれば、IDは固定となる。仮にパスワードまでも使い回していると、攻撃者はパスワードリスト攻撃を仕掛けることで難なくシステムに認証させることができ、そのエンドユーザーになりすますことができる。そうなれば攻撃者は、そのエンドユーザーと同じ権限の範囲内で、システム内のデータや機能へアクセスできる（図）。

図　パスワードリスト攻撃のイメージ

　ID／パスワード認証の安全性が損なわれるようになった背景には、安易なパスワードの設定、IDのメールアドレス化、パスワードの使い回しなど幾つもの要因が積み重なっている。しかもこうした運用は、既にさまざまな組織で日常的になってしまっているのだ。きちんと運用していれば安全なはずのID／パスワード認証の仕組みが、こうした“ちょっとしたこと”が重なることで認証の役割を果たさなくなってきている。

　次回は、このID／パスワードの弱点を補う仕組みとして、「生体認証」をはじめとする他の認証手段を紹介する。