英プリマス大学の研究により、有名Webサイトの一部で運用されているパスワードの強度判定サービスが「一貫性のない、誤解を招く」アドバイスをユーザーに提供していることが明らかになった。関連情報ShareTweetLINEHatenaこの記事は会員限定です。会員登録(無料)すると全てご覧いただけます。英プリマス大学の研究チームは、パスワードの強度を測定してユーザーにアドバイスを提供する「パスワードメーター」の効果を比較、評価した研究結果を発表した。パスワードメーターとは、ユーザーがパスワードを新たに入力した際に、安全なのか危険なのかを診断してくれるサービスをいう。Report(データ侵害調査レポート)」では、ハッキング関連の侵害のうち81%は「盗まれたパスワードや脆弱(ぜいじゃく)なパスワードのいずれかまたは両方を利用した」という結論を出している。弱いパスワードを使わないようにする取り組みが必要であり、パスワードメーターがきちんと機能するのか、そうでないのかを検証する必要がある。研究の結果、世界で最も使われているWebサイトの一部では、パスワードメーターが、「一貫性のない、誤解を招く」アドバイスを提供していることが明らかになった。プリマス大学情報セキュリティ教授で、セキュリティ/通信/ネットワーク研究センター長を務めるスティーブ・ファーネル氏が指揮した研究では、16の主要なパスワードメーターを対象とした(記事末に列記)。これらは主に、専用Webサイトでサービスとして提供されているものだが、一般的なオンラインサービス(「Dropbox」や「Reddit」など)に組み込まれているものや、Apple製品など一部のデバイスで標準提供されているものも取り上げている。一部のパスワードメーターは、ユーザーが安全なパスワードを利用できるよう効果的なアドバイスを提供する。中には、ユーザーが「abc123」「qwertyuiop」(キーボードの2列目の文字を並べたもの)といった極めて危険なパスワードを使ったとしても、見過ごすものがあった。パスワードメーターの機能は役立ったのか研究チームは、16のパスワードメーターを対象に16種類のパスワードを試した。パスワードのうち10種類は、世界で最もよく使われている部類に入るものだ(「password」や「123456」など)。これら10種類の明らかに弱いパスワードのうち、16のパスワードメーターが全て弱いパスワードと評価したものは、5件にとどまった。「Password1!」というパスワードは、本来受けるべき評価よりもはるかに高い評価を獲得した。これを強いパスワードと評価したパスワードメーターも3つあった。安心できる結果もあった。Webブラウザが自動生成した(研究の結果実際に強いと分かっている)パスワードは、どのパスワードメーターも強いと評価した。ユーザーはWebブラウザのこうした機能については、信頼できそうだ。ファーネル氏は、論文の結論部分で次のように述べている。「パスワードメーター自体は悪いアイデアではないが、適切なものを使う必要があるのは明らかだ(提供側にも努力が必要だ)。パスワードメーターがパスワードをどのように扱うかにかかわらず、多くのシステムやWebサイトは、実運用では弱いパスワードであっても受け入れてしまう。ユーザーに対して、より良いパスワードはどのようなものなのかといったアドバイスやフィードバックを提供していない。「パスワードに取って代わる技術が注目を集めている。現状では、ユーザーに対してパスワードを適切に使えるように支援する試みがほとんど、あるいは全く行われていないまま、パスワードが普及している。Security」誌の2019年11月号に論文として掲載された。研究で用いた10種類のパスワードは次の通り。ランダムに見えるがキーボードのキー配列にちなんでいるものここまでのパスワード(「1qaw3edr5」を除く)は特に弱いパスワードであり、オフラインでは、2秒以内で探り当てられてしまう。Dog.)研究では「1qaw3edr5」と「TQBFJOTLD」を比較的弱いパスワードとして扱っている。「1qaw3edr5」を探り当てるにはオフラインで10分、「TQBFJOTLD」は16時間かかった。以下の4つのパスワードを探り当てるにはオフラインで20時間以上を要した。強力だったのは「caczob-zoxpuw-9Seddi」で、計算上100年以上かかる。次に強力なのは「wretchgravelgeese」で、6年必要だという。3つの無関係な英単語を単純につなげたもの。前者は単独で使うと弱いパスワードになる単語3つを用い、後者は単独で使ってもそれほど弱くはならない単語3つを使った研究対象とした16のパスワードメーターのリストは次の通り。サービスは大きく3種類に分かれる。AssistantのようにOS自体に組み込まれているものだ。誤解を指摘——Webサービス運営者が知らないと損害を生む「パスワード保護の在り方」サイバーセキュリティの世界で取り上げるべきトピックは多々あるが、「基本的な守りを固める」ことも重要だ。2019年6月26日に行われた「@ITセキュリティセミナーロードショー」の中から、その際に役立つセッションの模様をレポートする。Microsoft、流出済みのパスワードを使用する4400万以上の同社ユーザーを発見Microsoftは、パスワードを再利用することで被る「パスワードリスト攻撃」について、自社のサービスを利用しているユーザーを対象に調査した。その結果、4400万件ものアカウントがパスワードを再利用していたことが分かった。Report」を補完する内容だ。結局、パスワードの定期変更は不要なのか、必要なのかパスワードの方針について総務省は2004年に「パスワードを定期的に変更するように」と総務省のサイトで呼び掛けていました。2018年に「パスワードの定期変更は不要」と内容を一変させ、話題となりました。今回はパスワードの定期変更について、米国の状況や、定期変更が必要となるパターンを見直してみます。Reserved.ページトップに戻る。