パスワードの管理と漏洩リスク - Password Manage

パスワードの管理方法と漏洩リスク

本人認証をする上で最も使用されている方法がログイン ID とパスワードの入力。

最も原始的なパスワード解析は、ユーザーIDとパスワードの組み合わせを一つずつ試していく「ブルートフォースアタック」という総当たり攻撃。
当然、使用されている文字数が多いほど解読に時間がかかり、少なければ短時間で突破されることになる。

ダークウェブではハッキングツールのほかハッキングの請負も多い。

SNS の場合ハッキングの相場はだいたい4万～5万円で、自分にハッキングのスキルがなくても、依頼すればアカウントの乗っ取りは可能だったりする。
もちろん取引が正常に行われる保証はどこにもないが。。。

2019年7月1日にサービス開始と同時に不正利用が発覚し、2ヶ月後の9月30日にサービスを終了したスマートフォン決済 7 pay は、認証システムやセキュリティの甘さが散々指摘されたが、どれほど難解なパスワードを使用していても、それらの情報を保存しているサーバが攻撃され、データが抜かれると為す術がない。

「7pay」会見まとめ：9月末でサービス終了、不正利用で3861万円の被害

危険なパスワード

「危険なパスワード」は毎年公表されているにも関わらず、未だに上位陣は不動。

SplashData’s Top 100 Worst Passwords of 2018

123456
password
111111
qwerty
sunshine
iloveyou
admin

多くのログイン IDはメールアドレスなので、メールアドレスを入手して公表されている「危険なパスワード」を総当りすれば、確率的に何人かは突破できるはず。
また、特定の人物を標的にした場合、誕生日などその人物に関連したキーワードの総当りで突破されているケースも多い。

セキュリティ研究者トロイ・ハント氏が運営するアカウント情報の流出確認サイト「 ';--have i been pwned? 」では、メールアドレスやパスワードが過去に侵害されたか確認することができる。

';--have i been pwned?

メールアドレスの確認では、過去のメールアドレスが流出したかを確認できる。

2007年に作成して以来、使用し続けているGmailのアドレスは過去に1度のインシデントがあり、どこぞのサーバのシステムが脆弱で、データが公開された模様。

ログイン IDで使用しているメールアドレスとパスワードが、いずれも過去に侵害を受けている場合、「ブルートフォースアタック」で突破されるリスクが非常に高く、アカウントの乗っ取りに対して無防備に近い。

パスワードの変更

パスワードの変更に関しては、2017年6月のNIST（米国国立標準技術研究所）の「電子的認証に関するガイドライン」で「パスワードの定期的な変更は必要ない」という従来の指針と真逆の内容に変更され、これに追随する形で日本の総務省も「パスワードの定期的な変更は不要」という指針を示している。

ただ、これは定期的なパスワード変更をユーザーに強制することにより「単純で覚えやすいパスワードの使用」「パスワードの使い回し」「パスワードのパターン化」が危惧されたためで、パスワードの変更そのものにリスクがあるわけではない。

「単純で覚えやすいパスワード」は過去に侵害されている可能性が高く、「パスワードの使い回し」は一度侵害されると芋づる式にアカウントが乗っ取られる可能性があり、「パスワードのパターン化」もランダムなパスワードと比較して侵害される可能性が高くなる。

セキュリティ強化のために定期的なパスワード変更を強制することで、却ってパスワードが脆弱化するという本末転倒な状況に陥りやすいため、苦肉の策として「パスワードの定期的な変更は不要」という指針になったのだが、過去に侵害を受けているパスワードを使い続けて良いというわけではなく、「定期的な漏洩確認」と侵害されていた場合のパスワード変更は必須だったりする。

ブラウザでのパスワード管理

Google Chrome や Firefox はログイン情報の保存機能があり、デフォルトで自動保存が有効になっているため、対象のウェブサイトを開くとオートフィルでログイン ID とパスワードが入力されて非常に便利なのだが、この保存されたアカウント情報はブラウザを開くことさえできれば簡単に取得できる。

Chrome は「設定」の「自動入力」にある「パスワード」。

Firefox は「オプション」の「プライバシーとセキュリティ」にある「ログインとパスワード」から「保存されているログイン情報」。

Edge にもパスワードの保管機能やオートフィルの機能はあるが、Chrome や Firefox と異なり、パスワードの表示はコントロールパネルの「資格情報の管理」で保護されているため、保存されているパスワードを表示させるにはWindows へのログインパスワードが必要になる。

Edge 以外のブラウザを使用する場合、ブラウザに保存されているパスワードは容易にアクセスできるため、ブラウザに使用しているログイン情報が侵害されてしまうと、保存している全てのアカウント情報が危険に晒されるリスクがあるので、セキュリティを重視する場合、ログイン情報の自動保存の使用は推奨されない。

パスワードの管理

パスワードの使い回しはタブーのため、必然的に管理するパスワードは否応なく増加していく。
しかも覚えやすい意味のある文字列の使用もリスクが高く、近年は10桁以上でアルファベットの大文字小文字と数字・記号を含めるものも少なくないため、推奨されるパスワードは「 o#CSH\Hmm,.73i^d}8of 」といった感じになり、復活の呪文よりも取り扱いが厄介な代物になる。

2000年前後にはパスワードをパソコンに保存することはタブーとされ、紙に記載して保管することが推奨されていたのだが、ランダムで複雑なパスワードを多数管理するのは不向きであるのは明白で、パスワードを書いた付箋をモニタに貼り付けるという本末転倒なことにもなりかねないため、現在は IPA（情報処理推進機構）でも「暗号化されたファイル」として保管することが推奨されている。

多くのサービスで異なるパスワードを設定していると、すべてのIDとパスワードを暗記することは困難で、何らかの形でリストとして保持することが現実的な解となります。
紙のノートやメモ帳などに保持していても良いのですが、リストが肥大化した際のメンテナンス性を考慮し、IDとパスワードを記載したリストを「パスワード付きの電子ファイル」として保持することを勧めます。

・表計算ソフトでIDとパスワードのリストを作成する。そのリストを、パスワード付きでファイル保存する。
・表計算ソフトでIDとパスワードのリストを作成し、ファイル保存する。
そのファイルを、パスワード付きで圧縮ファイル（zipなど）に変換する。
・「メモ帳」などでIDとパスワードのリストを作成し、テキストファイルとして保存する。そのファイルを、パスワード付きで圧縮ファイルに変換する。

IPA 2013年8月の呼びかけ

パスワードマネージャーアプリ

ブラウザの自動保存を使用せず、保存したログイン情報を暗号化して保存しつつ、ログイン情報が必要なサイトではシームレスにログイン可能なのがパスワードマネージャーアプリ。

パスワードを一元管理するため、アプリの提供元の信頼性やデータの保存先など、さまざまな点で注意が必要だが、パスワードマネージャーを使用すれば、ランダムで複雑なパスワードを簡単に管理でき、ウェブサイトへのログインもシームレスに行えるメリットがある。

LastPassのブラウザ拡張にパスワード漏えいの脆弱性

実績のあるパスワード管理アプリも万全ではないが、ブラウザの自動保存や危険なパスワードの使用、パスワードの使い回しをしていることに比べれば、セキュリティリスクは随分と改善されるはず。