攻撃者は以下のような手法でパスワードを窃取する。

• 辞書に載っている単語をパスワードの推測に利用する「辞書攻撃」
• 平文とハッシュ値（特定の計算方法で複雑な文字列にした値）の組み合わせ表である「レインボーテーブル」を利用して、ハッシュ化されたパスワードを解読する「レインボーテーブル攻撃」
• 考えられる全ての組み合わせを試す「ブルートフォース攻撃」
• 流出したログイン情報を使ってアプリケーションへの自動ログインを試みる「クレデンシャルスタッフィング」

　例えば、「santaclaus」「password」「12345678」は、攻撃者による推測が簡単で、容易に侵害できるため、いずれも脆弱（ぜいじゃく）なパスワードだ。「Mandal#orian@1980!!」や「U&see#me!2024」は、簡単には推測できず、侵害の難易度が高くなるため、強力なパスワードと見なされる。

　パスワードを強力にするほど、アカウントやユーザーを適切に保護できる。つまり、アカウントやユーザーは、攻撃者に侵害される可能性が低くなる。そのため、現代のどのアプリケーションやどのセキュリティ専門家も、強力なパスワードを用意することをユーザーに推奨している。

チャレンジレスポンス認証

　チャレンジレスポンス認証とは、認証サーバから送られてくるデータ（チャレンジ）を基にクライアントが持っている、パスワードや秘密鍵などの情報を組み合わせて演算し、ハッシュ値を認証サーバに「レスポンス」として返すことによって認証するメカニズムだ。この場合、パスワードや秘密鍵は正当なユーザーのみであることが前提となる。

　チャレンジレスポンスの仕組みを利用した認証方式は次の通りだ。

• 生体認証
• 「CAPTCHA」（ゆがみ文字列による認証方式）
• 「SSH」（Secure Shell）
• ワンタイムパスワード
• 「OCRA」（OATH Challenge-Response Algorithm）
• 「CHAP」（Challenge-Handshake Authentication Protocol）

安全なパスワードの作り方

　パスワードを強力に設定して保護すれば、ユーザーは安全かつ安心してコミュニケーションが取れる。パスワードの強力さと有効性を高めるため、パスワードのポリシーを定めている企業は珍しくない。企業はパスワードのポリシーを、ユーザーによる強力なパスワードの作成を支援し、ログイン資格情報の管理にベストプラクティスを導入して、盗難やセキュリティ侵害からパスワードを保護するよう設計すべきだ

　強力なパスワードを作るためのルールを以下に幾つか紹介する。

• 文字の長さを最短8文字から最長16～64文字の間にする
  • パスワードの長さに制限はない。だが、長過ぎるとユーザーが覚えやすいパスワードを設定して推測されたり、紙のメモに転記して漏えいしたりするリスクが強くなる。短くても複雑で推測されにくいパスワードを設定する必要がある。
• 大文字と小文字を区別して混在させる
• 数字を1文字以上使用する
• 特殊文字を1文字以上使用する
• 子どもの名前、ペットの名前、誕生日など、推測しやすい要素は使用しない

　強力なパスワードの作成や作成したパスワードの保護にはパスワードマネジャーが役に立つ。最後に、テキストファイルやMicrosoftの文書作成ツール「Microsoft Excel」のファイルのような暗号化されていない場所に決してパスワードを保存しないのがセキュリティのベストプラクティスだ。

強力なパスワードとパスフレーズ

　パスワードを強力にするために重要なことは、十分な長さにすることや文字の種類を混在させることだ。近年、セキュリティの専門家が推奨しているのが、複数のランダムな単語やフレーズ（言い回し）を組み合わせる「パスフレーズ」だ。パスフレーズと英字、記号、数字を組み合わせることで強力なパスワードとなる。

　例えば、「my hobby is buying shoes online」（靴をオンラインで購入するのが趣味）というフレーズであれば、「Myho88y!$buYing$HO3$0nlin3」とすることで複雑になり、侵害や盗難のリスクを抑えられる。

脆弱なパスワードのリスク

　ユーザーも企業も、攻撃者が容易に探り出せる脆弱なパスワードをなくすよう努める必要がある。攻撃者はパスワードを窃取して以下のようなことをたくらんでいる。

• ユーザーのデジタルリソースへの不正アクセス
• データ侵害
• アカウント乗っ取り攻撃
• 個人の識別情報の窃盗（ID窃盗）
• 個人や企業の資金や知的財産の窃盗

　一般的には「password」のような1つの単語だったり、「12345678」など、1から始まる連続数字を使用したり、誕生日、身内の名前、自宅の住所、ペットや子どもの名前といった入手可能な情報を含めると脆弱になる。

　次回はパスワード、パスキー、パスフレーズの違いを整理する。