愚かなパスワードから身を守るための3つの簡単なステップ

パスワードは愚かだ。

しかし、パスワードの愚かな点は、それ自体が安全ではないということではなく、ユーザーに安全でない行動を許し、さらには促してしまうことです。新しいパスワードを作成し、それを記憶しなければならない状況に直面すると、ほとんどのユーザーは、以前から使っている、愚かで覚えやすいパスワードを使い回してしまうのです。まさにハッカーが狙っているのは、まさにこのような脆弱性なのです。

そんな被害者にならないでください。3つの簡単なステップで、使い古したパスワードを、より安全で管理しやすいものに変えることができます。

1. パスワードに問題があることを認める

誰もが意味不明なパスワードを使っています。マネージドセキュリティ企業Trustwaveの調査結果を見てください。同社は定期的に顧客のセキュリティをテストし、脆弱性を見つけています。2014年のセキュリティテストで、同社は62万5000件のパスワードハッシュ（パスワードを保存するための暗号化された形式）を収集し、研究者たちはそれらの解読を試みました。2分以内に、半数以上（54%）が一般的なパスワード推測手法で解読されました。1ヶ月で、同社はパスワードの92%を解読しました。

最も一般的なパスワードは？「Password1」、続いて「Hello123」、そしてもちろん「password」です。

「パスワードの本質的な問題は、ユーザーに愚かなことをする余地を与えすぎてしまうことだが、適切なセキュリティ管理は、ユーザーが愚かなことをするのを許すべきではない」とトラストウェーブの副社長チャールズ・ヘンダーソン氏は言う。

テクノロジー企業やオンラインサービスが代替手段を模索しているのも無理はありません。Yahoo!が最近発表したように、デバイスにパスワードを保存・送信する機能を追加することで、ユーザーがパスワードを記憶する必要がなくなるのはその一例です。AppleのTouchIDに搭載されている指紋センサーやWindows 10の顔認証といった、2要素認証の追加もその一つです。

パスワードの文字の種類と順序 — Trustwaveによると、最も一般的なパスワードのパターンは6文字と1つの数字、または6つの数字の組み合わせです。パスワードの約30%がこれらの組み合わせのいずれかです。

しかし、これらのソリューションにも独自の問題があります。消費者レベルの生体認証は、企業がセキュリティを犠牲にして利便性を優先しているため、簡単に破られてしまうことがよくあります。AppleのTouchIDは数ヶ月でハッカーの手に渡り、他の指紋センサーも同様の問題を抱えています。

「セキュリティコミュニティの誰もがパスワードが厄介だということに同意していますが、すぐにパスワードがなくなるわけではありません」とヘンダーソン氏は言う。

2. パスワードマネージャーを使用して新しいコードを作成する

安全なパスワードを作成するには、長い文字列、数字、特殊文字を使用する必要があります。パスワードは一方向の「ハッシュ」として保存されますが、攻撃者は数百万通りの可能性を非常に迅速に処理するための様々な手法を習得しているため、複雑なパスワードが必須となっています。

でも正直に言うと、全部自分で作ることはできません。LastPass、Dashlane、1Password、KeePassなど、様々なパスワードマネージャーを使えば、複雑なパスワードを生成したり、複数のデバイスで管理したり、ログインフォームを自動入力したりできます。モバイルアプリ版のパスワードマネージャーも簡単に利用できます。

3. 別のアカウント、別のパスワード

平均的なユーザーは30～60個のオンラインアカウントを保有しています。オンラインサービスへの侵入が多発していることを考えると、サービスごとに異なるパスワードを設定することは当然のことです。そうしないと、あるサイトで侵入が発生した場合、攻撃者が同じユーザー名とパスワードを他のサイトで使用してしまう可能性があります。

しかし、パスワード管理サービスDashlaneによると、各アカウントに単一のパスワードを割り当てるということは、人々が覚えなければならない複雑なパスワードやパスフレーズの数が急増することを意味します。「今では数十ものパスワードが必要なだけでなく、それらを様々なデバイスで、異なるタイミングで使い分ける必要があります」と、DashlaneのCEO、エマニュエル・シャリット氏は述べています。「複雑さが爆発的に増加し、人間が管理するには手に負えないほどになっています。」

パスワードマネージャーを使うもう一つの理由はこれです。パスワードマネージャーは、無駄な使い方ではなく、良い使い方を心がけましょう。パスワードマネージャーに同じパスワードを保存しないようにしましょう。できるだけ長く複雑なパスワードを作成し、アカウントごとに異なるパスワードを設定しましょう。