パスフレーズがパスワードや指紋認証より優れている理由

パスワードをそのまま「password」にしていた時代を覚えていますか?今でも多くの人が信じられないほど脆弱な方法を使っていますが、ささやかなパスワードも進化を遂げてきました。

現在では、オンラインバンキング、ゲームアカウント、デバイスのロック解除など、あらゆる場面でパスコードやパスフレーズを使用しています。

しかし一部の人々にとっては、これらさえも不要なものとなり、より優れたとされる認証方式への置き換えが進んでいます。ここでは、あえてパスコードとパスフレーズを使い続けるべき理由を解説します。

パスコードとは?

私たちのほとんどは、スマートフォン、メール、その他のアプリやサービスにパスコードやパスフレーズを使用しています。これは文字と数字を組み合わせた文字列で、通常はパスワードより長いものです。例えば、パスワードが「MakeUseOf」だとすると、「M@k3U$£0f2006!」のような形に変換できます。

「MakeUseOf」だけでは簡単に推測されてしまいます。母音の大部分を数字に変え、サイトの設立年を加え、最後に記号をつけることで、格段に推測しにくくなります。

おそらく最も頻繁に使う重要なパスコードは、Wi-Fi接続用のものです。初期状態では数字と英大文字・小文字の組み合わせになっています。変更することもできますが、愛犬の名前ではなく、しっかりとしたパスコードに変更しましょう。

他の認証方法には何が問題なのか?

ハッカー対策として、企業はさまざまな認証手段を採用または試験しています。

しかし、完璧な認証方法は存在しません。依然としてパスコードこそが最強なのです。

PIN(暗証番号)

私たちは個人識別番号(PIN)に頼る場面が多くあります。カードで支払う際——非接触決済を使わない、または使えない場合——4桁のコードを入力する必要があります。スマートフォンのロックにPINを使っている人も多いでしょう。0から9の数字による4桁の組み合わせは1万通りあり、かなり安全に思えます。6桁のコード(同じく0から9)で数字の重複なしとすれば、136,080通りの組み合わせが可能です。

PINを何に使っていようと、他人があなたのPINを当てる確率は低そうに見えますが、最初に思うほど天文学的な数字ではないかもしれません。特にPINが「1234」などのよく使われるコードの場合は要注意です。ハッカーは平均的な人の行動を予測できるのです。

生年月日はサイバー犯罪者が真っ先に調べる情報の一つで、ダークウェブではさらなる基本情報も容易に手に入ります。人は当然ながら覚えやすいものをPINに設定するため、結婚記念日、21歳の誕生年の西暦、両親や子供の誕生日などを選ぶ人も少なくありません。

より可能性が高いのは、ハッカーによるブルートフォース攻撃(総当たり攻撃)です。これは非常に単純化して言えば、複数桁のシステムを体系的に順番に試していくプログラムです。「0001」から始まり、「0002」「0003」と非常に高速に組み合わせを試行し続けます。

通常のパスワード

パスワードを誰にも推測できない難解なものに設定すれば大丈夫だと思うかもしれません。外国語、ペットの愛称、お気に入りの楽曲のタイトル……誰にも分からないでしょう?

パターンロックよりはパスワードの方がましですが、ハッカーがあなたについて十分な情報を入手すれば、あなたがどんな言葉を使いそうか、経験に基づいた推測ができてしまいます。どうやって?あなたに関する個人情報を購入したり、ブログやSNSでの発信内容を精査したりするのです。Digital ShadowがFacebookのプロフィールを分析し、可能性のあるパスワードを導き出す仕組みを見てみれば、その危険性がよく分かるでしょう。

さらに恐ろしいことに、ハッカーはブルートフォース攻撃の一種である「辞書攻撃」を使うことがあります。これは同じ原理で動作しますが、文字列の組み合わせも試行します。まず、ハッカーが「最も可能性の高いパスワード」としてリストアップした単語を優先的に試し、すぐに成功しなければ、末尾に年号を追加するなどのパターンも試します。

そして、複数のアカウントで同じパスワードを使い回していれば、被害は一気に拡大します。

おそらく最も重要なのはメールのパスワードです。第三者にアクセスされると、相手はあなたの他のすべてのアカウントを特定し、「パスワードをお忘れですか?」から再設定を行えてしまうからです。メールアドレスには必ず固有のパスワードを使用してください。Wired誌のMat Honan氏はこう述べています。

「オンラインのパスワードはどのように破られるのか?あらゆる方法で破られています。推測され、流出したパスワードリストから引き出され、ブルートフォース攻撃で解読され、キーロガーで盗まれ、あるいは企業のカスタマーサポートを騙すことで完全にリセットされるのです。」

指紋認証

Touch IDはデバイスを保護する賢い方法のように見えます。Appleは2013年のiPhone 5Sでスマートフォンに、2014年にはiPadに搭載し、多くの人は画期的な新セキュリティ対策と受け止めました。指紋は人それぞれ固有のものだからです。他人があなたの指紋をコピーするのは不可能に思えました。

しかし、コピーは可能です。もちろん可能なのです。

私たちはどこへ行っても脂分を含んだ指紋を残しますが、デバイス上にも確実に指紋が付着しています。問題は、それが完全で使用可能な指紋として残っているかどうかです。賢い泥棒なら、PINを使用している端末よりも、Touch ID搭載端末の方がロック解除しやすいと考えるかもしれません!

この見方は広まりつつあり、セキュリティ機構の突破方法を発見した技術者たちによって後押しされています。最も有名なのは、こうした脆弱性の暴露を専門とするハッカーグループ、Chaos Computer Club(CCC)の事例です。彼らは指紋の高解像度画像を撮影し、透明シートに大量のプリンターインクで反転印刷した後、白い木工用ボンドを塗って偽の指紋を作り出しました。

この手法はその後、銀導電性インクを使ってさらに精度を高められています。

さらに、生体認証技術自体が劣化するという問題もあります。iPhoneを例にとると、相補型金属酸化膜半導体(CMOS)スキャナーを使用しており、傷がつきやすい構造です。実際、汚れでも認識精度に影響が出ます。汗ばんだ手では?スマホがあなたを認識しないかもしれず、しかもセンサー自体が損傷する恐れもあります。CMOSの寿命は非常に短く、それはAppleにとって好都合でしょう。故障を「買い替え時のサイン」と捉えて、新しい端末を購入することになるからです。

もちろん、これは本質的なセキュリティリスクというわけではありませんが、指紋認証の限界を示すものです。Touch IDが失敗すれば、結局はパスコードに頼ることになります。それでも、一般ユーザーにとって指紋認証はおそらく十分安全でしょう——ただし、法執行機関にデバイスのロック解除を求められる可能性を懸念する場合は話が別です。

パスコードをさらに安全にする方法

パスフレーズは特に有効な手法です。文章を各単語の頭文字だけに置き換えるのです。好きな曲名、名言、書籍のタイトルを利用できます。例えば、レイ・ブラッドベリの『太陽の黄金の林檎』が好きだとしましょう。これは「TGAOTS」になります。末尾に著者のイニシャル「RB」を加えてもいいでしょう。「O」をゼロ「0」に変更してもよいでしょう。熱心なブラッドベリファンなら、出版年の「1953」を加えることもできます。

最終的に、パスフレーズは「TGA0TSRB1953」となります。傍目には完全な意味不明の文字列に見え、とても推測できませんが、頭字語の由来を知っていれば覚えるのは簡単です。

さらに記号も加えましょう。多くの人は感嘆符を選びがちですが、もう少し珍しい記号を使ってはどうでしょうか?「S」は簡単に「$」に変えられますし、バックスラッシュ(\)はほとんど使われないので、有力な選択肢になります。

大文字と小文字を混ぜるのも効果的です。ただし、単純に先頭の文字だけ大文字で残りを小文字にするのは避けましょう。お気に入りの作家がいるなら、2冊の書籍タイトルを組み合わせるのも一案です。『華氏451度』を参考にすれば、「F451」をフレーズに追加できます。

4桁の数字(西暦など)を使うなら、パスワード全体の前後を2桁ずつの数字で挟むのもおすすめです。完成形はこのようになります……

19tGa0t$f451\53

仕上げに、各種のWebサイトでパスコードの強度をテストしてみるとよいでしょう。

あなた独自のパスワード術はありますか?どの認証方法が最も安全だと思いますか?ぜひコメント欄でお聞かせください。

画像クレジット:Freewheelin pin pad by Aranami / Volkswagen Password by Automobile Italia / Fingerprint by Kevin Dooley