パスワード認証はなぜ危険なのか？　注意すべき攻撃手段とユーザーの行動

主要な認証手段として広く利用されているにもかかわらず、パスワードはセキュリティインシデントの元凶となる存在だ。どのような攻撃やエンドユーザーの行動がセキュリティを脅かすのか。

公開 2020年03月21日 08時30分

著者

Sharon Shea

Randall Gamby

[TechTarget]

印刷する連載新着通知を受け取る

　パスワードはユーザー認証の方法として広く使われているが、さまざまな攻撃や不正アクセスを引き起こす、セキュリティインシデントの元凶でもある。通信事業会社Verizonがまとめた「2019 Data Breach Investigations Report」（2019年度データ漏洩/侵害調査報告書）によると、不正アクセスが絡む情報流出の約80％が、パスワードなど認証情報の盗難や使い回しに関連しているという。

併せて読みたいお薦め記事

パスワードが狙われたセキュリティインシデント

パスワードの代替手段

　パスワードはそれほど危険であるにもかかわらず、なぜいまだに使われ続けているのだろうか。代替手段は存在する。しかしその場合はどれくらいセキュリティを強化できるのか、どれくらいのコストが必要なのか、ユーザーにとってどれくらい使いやすいものなのかなど、検討すべき事項は山積みだ。

　パスワードの最小文字数を決めることから、定期的なパスワードのリセットを義務付けることまで、代替手段を利用しなくてもパスワード認証のセキュリティを強化できる方法は存在する。

パスワードの何が問題なのか

　パスワードにはセキュリティリスクが付きまとう。例えば「ブルートフォース攻撃」（総当たり攻撃）は、何通りものIDとパスワードの組み合わせを入力することにより認証突破を試みる。「キーロガー攻撃」は、デバイスのキー入力を監視するためのマルウェアを利用してIDとパスワードの組み合わせを推測する。人の心理的な隙を狙って秘密情報を入手する手法である「ソーシャルエンジニアリング」によってログイン情報をだまし取ろうとする「フィッシング攻撃」にも、パスワード漏えいのリスクがある。

　パスワードの安全性が低下する原因は何だろうか。

　ユーザーがパスワードを紙に書き留めたりスマートフォンに保存したりするケースは散見される。このようなパスワードの使い回しは大きな懸念材料になる。パスワード管理サービスを提供するLastPassが世界のパスワードセキュリティ動向についてまとめた年次報告書「Global Password Security Report」の2019年版では、同じパスワードが平均13回使い回されていることが明らかになった。覚えやすいという理由で作成されたパスワードは、攻撃者にとっても推測しやすい。そうしたパスワードは、既に攻撃者のレインボーテーブル（パスワードとそれをハッシュ化した文字列の組み合わせの対応表）にリストアップされている可能性がある。盗み出した認証情報を用いてbotによる不正アクセスを試みる「クレデンシャルスタッフィング攻撃」用のパスワード一覧として出回っている場合もあるだろう。「123456」「password」「qwerty」「iloveyou」などの安易なパスワードは、「突破されやすいパスワードのリスト」に常連として登場する。

　パスワードセキュリティの課題は、覚えておかなければならないパスワードの数にも関係する。LastPassの調査によれば、平均的な会社員が職場で覚えておかなければならないパスワードは25～85個あるという。これほどの数のパスワードを使用するとなれば、ずさんに管理され、安全性が低下するのも無理はない。そうした状況に加えてアプリケーションや社内システムのパスワードは定期的な変更を義務付けられている現実を考えると、ユーザーがパスワードを忘れたり、使い回したり、覚えやすいパスワードを使ったりしても不思議ではないだろう。

印刷する