パスワードの管理

パスワードの管理方法と漏洩リスク

ログインID とパスワードを使用した認証方法ではアカウント情報が流出すると第三者からアクセスされる可能性が高くなり、悪用されるとアカウントの乗っ取りやドコモ口座不正預金引き出し事件のような被害に見舞われる。

危険なパスワード

CyberGhost の記事 によると最も侵害されたパスワードは 123456 で、2019年には 2,320万件の侵害が発生しており、qwerty が 400万件、password は 360万件の侵害が発生してる。

・123456
・abc123
・password
・111111
・qwerty
・1qaz2wsx
・sunshine
・iloveyou
・admin

日本人がよく使用するパスワード

ExpressVPN の記事 では日本人は意味のある単語よりもキー配列を利用したパスワードを選ぶ傾向があると指摘されている。

・12345678
・password
・123456789
・159753qq
・asdf12345
・asdfghjk
・1qaz2wsx
・aa123456

多くのログイン ID はメールアドレスなので、メールアドレスを入手して公表されている 危険なパスワード を総当りすれば確率的に何人かは突破でき、特定の人物を標的にした場合は誕生日など個人に関連したキーワードの総当りで突破されているケースも多い。

漏洩パスワードの確認

セキュリティ研究者トロイ・ハント氏が運営するアカウント情報の流出確認サイト ‘;–have i been pwned? では、メールアドレスやパスワードが過去に侵害されたか確認することができる。

‘;–have i been pwned?

ホーム画面でメールアドレスや携帯電話番号を入力すると過去に流出したかを確認できる。

Pwned Passwords でパスワードを入力して「 pwned? 」をクリックすると漏洩状況が表示される。

ブラウザ/ パスワードマネージャーでの確認

Firefox/ Google Chrome/ Brave / Edge などのウェブブラウザや、RoboForm/ Enpass などのパスワードマネージャーは、侵害された可能性のあるパスワードと脆弱なパスワードに対して警告する機能を実装している。

Chrome や Brave は設定の 安全確認 、Edge は設定の パスワード、 Firefox は Lockwise のオプションで設定でき、デフォルトで警告が有効になっている。

RoboForm では侵害されたパスワードには感嘆符が表示されるが、パスワードマネージャーにはパスワード漏洩状況の確認機能を実装しているものが多い。

パスワードの解析

パスワード解析には 辞書攻撃 や ブルートフォース ( 総当り ) 攻撃などがあり、Passware Kit のようにパスワードを回復する暗号解読アプリも販売されている。

Passware Kit のインストールと使い方

パスワードで保護された Microsoft Office ファイルや ZIP ファイルなどのパスワードを回復する暗号解読アプリ Passware Kit は暗号解読 / 情報開示を専門に扱うソフトウェアベンダー […]

ダークウェブ ではハッキングツールのほかハッキングの請負も多く、取引が正常に行われる保証はないが SNS の場合ハッキングの相場は 4 万 ~ 5 万円。

パスワードの管理

パスワードの使い回しはタブーで、意味のある単語の使用もリスクが高く、近年はパスワードの条件に 10 桁以上でアルファベットの大文字小文字・数字・記号を含めるものも少なくないため、パスワードの管理は煩雑になりやすい。

2000年前後にはパスワードをパソコンに保存することはタブーとされ、紙に記載して保管することが推奨されていたが、ランダムで複雑なパスワードを多数管理するのは不向きで、パスワードを書いた付箋をモニタに貼り付けるなど本末転倒なことにもなりかねないため、現在 IPA ( 情報処理推進機構 ) でも 暗号化されたファイル として保管することが推奨されている。
IPA 2013年8月の呼びかけ

多くのサービスで異なるパスワードを設定していると、すべてのIDとパスワードを暗記することは困難で、何らかの形でリストとして保持することが現実的な解となります。
紙のノートやメモ帳などに保持していても良いのですが、リストが肥大化した際のメンテナンス性を考慮し、IDとパスワードを記載したリストを「パスワード付きの電子ファイル」として保持することを勧めます。
・表計算ソフトでIDとパスワードのリストを作成する。そのリストを、パスワード付きでファイル保存する。
・表計算ソフトでIDとパスワードのリストを作成し、ファイル保存する。
そのファイルを、パスワード付きで圧縮ファイル（zipなど）に変換する。
・「メモ帳」などでIDとパスワードのリストを作成し、テキストファイルとして保存する。そのファイルを、パスワード付きで圧縮ファイルに変換する。

定期的なパスワードの変更

パスワードの定期的な変更に関しては、2017年 6月の NIST ( 米国国立標準技術研究所 ) の 電子的認証に関するガイドライン で パスワードの定期的な変更は必要ない という従来の指針と真逆の内容に変更され、日本の総務省も パスワードの定期的な変更は不要 という指針を示している。

この方針転換は定期的なパスワード変更をユーザーに強制することにより 単純で覚えやすいパスワードの使用・パスワードの使い回し・パスワードのパターン化などパスワードが脆弱化する本末転倒な状況が危惧されたためで、パスワードの変更にリスクがあるわけではない。

単純で覚えやすいパスワード は過去に侵害されている可能性が高く、パスワードの使い回し は一度侵害されると芋づる式にアカウントが乗っ取られる可能性があり、 パスワードのパターン化もランダムなパスワードと比較して侵害される可能性が高くなる。