2019年12月31日スポンサーリンクfacebookやTwitterなどのSNS、そしてAmazonや楽天などのECサイト、それに加えて決済の手段として欠かせないネットバンクなど、インターネットを便利に使うために、私たちは様々なWebサイトでパスワードを利用しています。多くのWebサイトでIDとパスワードが必要になるから、もう全部のWebサイトで同じIDとパスワードを使っているという人もいるかもしれません。「IDとパスワードを使いまわしてはいけない」と、頭では理解していても、自分だけは大丈夫って思ってしまいますよね。それではパスワードを使いまわしていると、具体的にどのような被害に遭ってしまうのでしょうか。ここで「パスワードリスト攻撃」と効率的なパスワード管理について詳しく紹介したいと思います。スポンサーリンク目次パスワードリスト攻撃とは?流出したパスワードが取引される「ダークウェブ」とは?不正アクセスに負けない、パスワード管理の方法パスワード管理1:Webサイトごとパスワード文字列の一部を変化させるパスワード管理2:ブラウザのパスワード管理機能を使うパスワード管理3:パスワード管理ソフトを使う二要素認証も普及しているパスワード管理をしっかりとパスワードリスト攻撃とは?パスワードリスト攻撃とは、すでに流出してしまったIDとパスワードの組み合わせを使って、複数のWebサイトへの不正アクセスを試みる攻撃のことです。あなたが使っているfacebookのアカウントのIDとパスワードの組み合わせが流出して、その情報が攻撃者が持つリストに含まれていたとします。そこで攻撃者は、そのIDとパスワードの組み合わせを使って、Twitterへの不正アクセスを試みます。この時、あなたがfacebookとTwitterで、同じID、同じパスワードを使っていると、攻撃者は難なくTwitterへの不正アクセスを実現してしまいます。これがパスワードリスト攻撃の概要です。漏洩したIDとパスワードはfacebookのものだったのに、Twitterへの不正アクセスに使われてしまうのです。ここで勘のいい人ならお分かりかもしれませんが、これはIDとパスワードの組み合わせを使いまわさなければ、被害は未然に防ぐことができます。「普段からSNSなどを使っているけど、特に何の被害もない。不正なアクセスの痕跡もない。目立った被害が発生していないから、自分は大丈夫だと思い込むのは、ちょっと危ないかもしれません。悪意のある攻撃者は、一般人のIDとパスワードを入手したからと言って、すぐに攻撃や不正アクセスを仕掛けたりすることはないからです。実はインターネットには違法なコンテンツが流通している「ダークウェブ」と呼ばれる世界があります。攻撃に使われるIDとパスワードのリストは、このダークウェブ上で取引されていることがあります。ダークウェブとはどのような世界なのでしょうか。流出したパスワードが取引される「ダークウェブ」とは?さきほども説明したように、IDとパスワードを入手した攻撃者は、すぐにその情報を使って攻撃を仕掛けることはありません。それでは、何のために攻撃者はパスワードを狙うのでしょうか?理由は様々ですが、主な理由の一つに「不正アクセスできるIDとパスワードのリストを販売する」という目的があります。「販売ってどこで販売するの?」と、気になりますよね。実はインターネットには通常の方法ではアクセスできない闇の世界が存在します。これを「ダークウェブ」と言います。ChromeやFirefoxではアクセスできません。ダークウェブにアクセスするための専用のブラウザを使う必要があります。流出したIDとパスワードのリストは、ダークウェブ上で取引されて、不正アクセスをもくろむ攻撃者の手に渡ります。ダークウェブにはIDとパスワードのリストだけでなく、不正アクセスに使うプログラムや、メールアドレス、偽造されたクレジットカード、児童ポルノなど、違法な物品やコンテンツが流通しています。こんなものが流通している世界で、自分が普段から使っているIDやパスワードが取引されていたら、ぞっとしますよね。残念ながら、一度インターネット上に流出してしまった情報をなかった事にすることはできません。そんなことを言っても、複数のIDとパスワードを管理するのは大変ですよね。それではIDとパスワードを安全で効率的に管理する方法を紹介しましょう。不正アクセスに負けない、パスワード管理の方法パスワードリスト攻撃の対策として、IDとパスワードの使いまわしが良くないというお話をしました。それではパスワードの使いまわしをせず、安全に管理するためには、具体的にどのようにすれば良いのでしょうか。これから具体的に3つの方法を紹介します。パスワード管理1:Webサイトごとパスワード文字列の一部を変化させるこの方法はパスワードとしてベースの文字列を決めておいて、Webサイトごとに少しだけその文字列を変更する方法です。あなたが普段使っているパスワードが「password」という文字列だったとします。そのパスワードの文字列に対して、Twitterのパスワードなら文字列の最後に「_tw」をつける、facebookのパスワードなら文字列の最後に「_fb」をつけるという方法です。ベースのパスワード文字列:「password」Twitterのパスワード:「password_tw」facebookのパスワード:「password_fb」この方法ではベースのパスワード文字列を記憶しておけば、あとはWebサイトごとのルールを決めておくだけで、パスワードの使いまわしを防ぐことができます。ChromeやFirefoxなど最近のブラウザでは、様々なWebサイトにログインするためのIDとパスワードを記録しておく機能がついています。この機能を使えば、どんなに難解で複雑なパスワードを設定しても、人間が覚えておく必要がないため、安全なパスワード管理が実現できます。この方法のデメリットは、記憶するブラウザがインストールされているパソコンでしか管理ができない点です。自宅で使っているパソコンのブラウザでIDとパスワードを記録しても、職場や外出先のパソコンでは、IDとパスワードの情報は引き継がれません。そのため、様々な環境で異なるパソコンを使う時に不便さを感じるかもしれません。パスワード管理3:パスワード管理ソフトを使うパスワードの管理を専用で行うソフトも存在します。Manager」を使っています。Managerhttp://www.woodensoldier.info/soft/idm.htmパスワード管理ソフトは他に様々なものがあります。ブラウザのアドオンとして提供しているものもあるので、いろいろ試してみて気に入ったものを使うと良いでしょう。二要素認証も普及している最近ではIDとパスワードだけの認証では、セキュリティ対策として不十分であるという意見もあります。そこで登場したのが「二要素認証」です。二要素認証の「要素」とは以下の3つです。・本人だけが知っていること・本人だけが所有しているもの・本人自身の特性これら3つの要素のうち、2つ以上を組み合わせて認証する方法が、二要素認証です。ネットバンクの場合、通常のIDとパスワードによる認証に加えて、セキュリティトークンを使ったワンタイムパスワードによる認証も活用されています。セキュリティトークンは「本人だけが所有しているもの」にあたり、これを利用することで、セキュリティを向上させています。パスワード管理をしっかりと今回はパスワードリスト攻撃の説明を通じて、パスワード管理の重要性を説明しました。セキュリティの世界では、毎日のように不正アクセスの事例が報告されています。コーディネーションセンターが「STOP!パスワード使い回し!キャンペーン2019」を始めました。パスワード使い回し!キャンペーン2019https://www.jpcert.or.jp/pr/stop-password.html上のリンク先では、パスワード管理の基本について、非常に丁寧に解説されています。ここで紹介した内容も含まれているので、復習の意味も込めて、チェックしてみてくださいね。===よろしければ、ポチっとお願いしますm(__)mこのブログの更新情報をTwitterで配信しています。よろしければフォローお願いします!@jugedredfacebookページも運営中です。MEドレッドフリーライター&Webクリエイター。1999年から趣味のホームページ制作を開始。TypeやWordPressのカスタマイズでWeb制作を覚えました。地元の制作会社で5年間勤務して独立。現在は個人事業主としてWeb制作に関することを何でもやってます。LINK:https://html.jugedred.netスポンサーリンクスポンサーリンクお仕事のご依頼お待ちしております。このブログの運営者にお仕事を依頼しませんか?現在はフリーランスのクリエイターとして、ウェブメディアのライティングやホームページ制作、コンサルティングをしています。事業用サイト「コレカラウェブ」にアクセスしていただき、お気軽にお問い合わせください。メールでのご相談は無料です。皆様からのご連絡お待ちしております。【セキュリティ】パスワードを厳重に管理しよう!「パスワードリスト攻撃」の恐怖とにかく管理が面倒くさいのが「IDとパスワード」ではないでしょうか。コメントをキャンセルメールアドレスが公開されることはありません。付いている欄は必須項目です次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。上に表示された文字を入力してください。7の「サイトのドメインに...検索フリーランスドレッドフリーライター&Webクリエイター。1999年から趣味のホームページ制作を開始。TypeやWordPressのカスタマイズでWeb制作を覚えました。地元の制作会社で5年間勤務して独立。現在は個人事業主としてWeb制作に関することを何でもやってます。画像スポンサーリンクWordPressが高速で動作することで定評のあるエックスサーバーです。このブログはエックスサーバーで動作しています。管理画面も使いやすく、機能も豊富で、初心者にイチオシのレンタルサーバーです。詳細ページ公式ページ国内最大手のASP「A8.net」です。有名商品からニッチ商品まで様々なジャンルの広告を使ってアフィリエイトができます。これからアフィリエイトを始める人にとって、最初に登録したいASPです。詳細ページ公式ページバリエーション豊富な広告主が充実しているバリューコマースアフィリエイトです。初心者向けのアフィリエイトセミナーなどを実施しており、安心して利用できます。登録は無料で報酬は1000円から支払ってくれます。7の「サイトのドメインに属していないメールアドレスが送信元に設定されています。