上手なパスワードの使い方【後編】

盗まれにくく覚えやすい、“良いパスワード”の作り方とは？

パスワードは主要な認証手段であると同時に、攻撃者にとって突破しやすい要素でもある。安全なパスワードを生成するヒントと、パスワードの代替手段として利用できる認証方法を紹介する。

公開 2020年04月03日 05時00分

著者

Sharon Shea

Randall Gamby

[TechTarget]

印刷する連載新着通知を受け取る

　パスワードの保護対策としてかつては十分だと見なされていたハッシュ化は、テクノロジーの進歩によって攻撃者に解読される可能性が高まっている。「攻撃者に解読されにくいパスワード」とはどのようなもので、どう作成すればよいのか。

併せて読みたいお薦め記事

パスワードが狙われたセキュリティインシデント

パスワードの代替手段

より強力なパスワードの作成

　セキュリティリスクが指摘されているにもかかわらず、パスワードはなくならない。その状況を考えれば、パスワード利用時のセキュリティ強化に取り組むことは重要だ。例えば業務用システムやアプリケーションで使用するパスワードの最小文字数を増やせば、IDとパスワードの組み合わせを総当たりで試す「ブルートフォース攻撃」の対策になる。

　パスワードの長さで「良い」あるいは「安全」と言える基準はあるのだろうか。

　さまざまなWebサービスがパスワード設定の条件として必須にしているのは、記号、数字、大文字、小文字を組み合わせた最低6～8文字だ。重要なのは長さだけではない。パスワードの複雑さも必要だ。ではパスワードの複雑性と長さを適切に設定する作業がユーザーにとって負担にならないようにするにはどうすればいいのか。その答えはパスワード（単語）よりも長い「パスフレーズ」を使うことだ。パスワードは場合によっては無意味な文字と数字を長々と羅列したものになり、覚えることに苦労するが、パスフレーズは心の中に思い浮かぶなじみのある文章をそのまま使えばよく、覚えやすい。

　例えば学校に通う子どもがいるユーザーが、「My child is on the fifth-grade honor roll」（私の子どもは学校の5年生の優等生名簿に載っている）というフレーズを思い浮かべたとしよう。これを変換すれば「Bobbys#1OnThe5thGradeHR」のようなパスワードが出来上がる。音楽好きなら「My favorite band when I graduated high school in 1998 was Nine Inch Nails」（私が1998年の高校卒業時に好きだったバンドはNine Inch Nailsだ）というフレーズから「N1998ILoved9InchNails」というパスワードを生成できる。両方とも複雑で、パスワードの安全な長さとして推奨される14文字を優に超えている。