最初の設定ではそれなりに強度のあるパスワードを使っていたとしても、より弱いものに変えさせる「強制」は、百害あって一利なしだ。いった「連続文字」パスワードは設定できないようにしなくてはならない、と示されている。これらは、ユーザーの利便性を最大限に考慮したうえでも、設定されるべきではないパスワードだ)過去の記事に指摘をくださった方が「時間的な変更を促すと、パスワード管理が雑になる」と言っているのは、このことだろう。同じ「時間的な変更」であっても、システムが強制するのと、ユーザーの自発性に任せるのとでは意味が違う。この二つを混同してはならない。強制はしてはならないが、時間的な変更はされるのが望ましいのだ。勧告の「変更を強制すべきではない」はずいぶんと勘違いされていて、パスワードを変更してはならないのだと思っている人が増えているようだ。強制すると雑になるから、というのは、ご指摘の通りだと思っていい。多くの専門家がそう指摘している。勧告では書かれていないものの、「わざわざ書かないだけ」で、前提にしている気がする。今回指摘を受けてネットを調査していたら、「パスワード変更の際に、変更しようとしているパスワードがネットワークを流れることになるから危険」と言う主張も見た。変更自体が危険なのだと思っている人は、こうした話を「裏付け」として信じてしまうかもしれない。パスワードは暗号化通信(SSL)を使って通信されるから、覗き見られることはない。「暗号化も破られるかもしれない」という前提に立つのであれば、ログインするたびに通信されるパスワードのほうが、変更のために1度だけ入れられるパスワードよりも、ずっと危険性が高い。この危険度を下げるためには、同じパスワードでログインされる回数を減らせばよい。時々パスワードを変更すべきだ。結局、「変更の危険性」を主張しようとして変な前提を持ち出しても、むしろ変更すべきだという話になる。2週間前に、セブンイレブンが新しい電子マネーである「7pay」を導入しようとして、大失敗をやらかして、炎上した。最大の大失敗は、システム側でのパスワード認証が「ざる」だったことだ。本人の生年月日を答えられれば、任意のメールアドレスに対してパスワードの再発行を要求できる、というシステムがあり、生年月日を設定していない場合の日付初期値が固定だった。割り出せれば、高確率でパスワードを奪い取ることができた。秘密ではない情報だった。社(セブンイレブンの子会社として電子マネーの会社が作られた)の社長は、報道記者から「なぜ二段階認証を使っていないのか」と質問され、「二段階認証って何ですか?」と基礎知識がないことを衆目にさらした。パスワード管理の話としてはどこから突っ込んだらよいのかわからないところだが、二段階認証の説明をしたい。使っている人は多そうだが、これが何を目的としているのかちゃんと認識している人は案外少ないように思う。二段階認証は、「パスワードは第三者が簡単に盗めるものだ」という前提に立っている。パスワードの組を知っているから本人、とは単純に認証できない。一方で、現代では、多くの人が携帯電話を持っている。携帯電話には電話番号がある。この電話番号は、本人と強く結びついたものだ。そこで、アカウントに対してあらかじめ「連絡手段」としての携帯電話番号を登録しておく。連絡手段があればよいので、固定電話やメールアドレスが使われる場合もある。パスワードの組での認証に成功した際、これは「第一段階」を突破しただけで、ログインにはならない。ここで、「二段階目」として、サーバーから連絡手段を通じて何らかの情報(通常は6桁程度の数字)が伝えられる。携帯電話番号に対してショートメッセージを送信、というように、この情報は「本人だけが受け取れる」ことが期待される。受け取った本人が情報をサーバーに伝え、正しい場合にやっとログインが完了する。・本人にだけ伝えられる情報を利用するため、正しく本人であると確かめられる。・万が一パスワードが盗まれた場合、本人に通知が行くため、パスワードが盗まれたことを知ることができる。いう2つのメリットがある。先に書いたが、パスワードが漏れて明らかな被害にあえば、パスワードを再設定するなどの対策がとれる。通常は「ただログインされて情報を見られただけ」では気づかない。二段階認証では、認証中に本人に通知を行うことで、第三者によるパスワード盗用が明らかになる。これにより「見えない被害」を事前に「見る」ことが可能となるだろう。大体のシステムにおいて、二段階認証は「オプション」扱いにすぎない。携帯電話などを持っておらず「設定のしようがない」ユーザーもいるためだ。ID・パスワードの組だけで認証が行われる。認証自体は問題なく行われるため、二段階認証を使えるシステムであっても、これが何のためにあるのか理解できずに設定していない、という人は多い。多くの有名サイトが二段階認証に対応している。二段階認証を「借りる」ことができる。設定していない人は導入を検討してみてほしい。実はこの方法での二段階認証は、強度的に十分ではないことがすでに分かっている。通信文は「他人に奪われる」可能性があるのだ。電話番号に対して発信され、スマートフォンなどのデバイスで受け取られる。スマートフォンに電話番号が割り振られているわけではない。自体がロックされるわけではない。対して送られたメッセージは、簡単にみられてしまう。自分のスマホに差し替え、2段階認証を突破してしまう、ということも可能なのだ。パスワードも知らないと二段階目まで進まないわけだが、ここまであなたの近くに潜り込める人であれば、ショルダーハッキングでパスワードはすでに知っている、と思ってよいだろう。これは、物理的に近づかないといけない例だが、技術的には特に難しいことはない。内容を読みだすことができる。内容を盗み見て送信する...ということだってできるだろう。ID/パスワードの組も送信しているわけだ。受け取らせてしまう、という攻撃も行われている。安全ではない、ということがわかってもらえるだろうか?メールアドレスに対する通知でも同じことがいえる。こちらの方が簡単に奪い取れるだろう。固定電話は...本当の意味での「固定電話」なら、電話線に対して電話番号が割り振られている。変更するには電話局内での設定が必要で、通信を盗むことは難しい。電話であることが多く、これは後から機器に電話番号を割り振っている。サーバーから本人に対して、「安全な通信経路が確保できる」というのが、この方式での二段階認証の前提だ。安全な通信経路が確保できない場合、安全ではなくなる。通信を行わないで、認証する瞬間にだけ使用可能な、本人だけが知れる情報で、サーバーに侵入されても情報が漏洩しない方法で、サーバーと秘密を共有すればいい。思われるかもしれないが、ちゃんとそうした方法は考案されていて、一部の二段階認証では選択できるようになっている。ワンタイムパスワード、と呼ばれるもので、仕組み自体は結構古い。2006年...いまから13年も前には、すでにジャパンネット銀行が導入している。先に「パスワードは時間によって変更したほうが良い」と示したが、それを究極まで突き詰めたものだ。30~90秒で、自動的にパスワードが変更されてしまう。これなら、万が一パスワードが盗まれても問題ない。パスワードが変わってしまうと、本人すらログインできなくなりそうだ。本人だけが持っているデバイスに、変更されたパスワードが示され続ける。本人だけはログイン可能だ。ここで重要なのが、パスワードを示すのに通信などは不要だ、という点だ。サーバーとデバイスは、お互いに示し合わせることなく、次々とパスワードを変えていく。それらは時刻を基にした一定の計算方法で示されるもので、デバイスとサーバーで一致している。計算で示される...ということはランダムではないのだが、たとえ計算方法を知っていたとしても、「鍵」がなくては同じ計算が行えない。ここが一番肝心なのだけど、計算のための「鍵」は、デバイスの中にしかない。万が一サーバーに侵入され、情報を盗まれてもパスワードを知ることはできない。この鍵は、公開鍵暗号を応用したものだ。公開鍵暗号は、「公開鍵」と「秘密鍵」のセットを使い、秘密鍵で暗号化した内容は公開鍵でしか元に戻せない。デバイスが秘密鍵を持ち、サーバーに公開鍵を預けておくと、デバイスが作り出した暗号が「確かに正しい」ことをサーバーは確認できる。公開鍵は、秘密鍵を基にして計算で求めることができる。公開鍵を基にして秘密鍵を割り出すことは事実上できない。サーバーに預けた公開鍵を盗まれたとしても、それを基に秘密鍵を求めてワンタイムパスワードを生成する、ということができない。13年も前に導入されたジャパンネット銀行では、6桁の数値を表示できる専用デバイスを配布してワンタイムパスワードを実現している。最近は、この方法を一般化した「時間ベースのワンタイムパスワード認証」が使われ始めている。規格化されており、複数の会社が同じ動作を行うハードウェアやアプリを作成しているので、自分の好みに合ったものを使いやすい。上にあげた、公開鍵暗号の応用によるシステムほどにはセキュリティが強くない。社が発明した特許品だから、金を払わずに同じ方式を使うことはできないのだ。公開鍵ではなく、共有秘密鍵を使う。いうことは、万が一サーバーに侵入されれば、鍵は漏れてしまい、他者でも同じパスワードが生成できるようになる。「疑いがある」時には、共有秘密鍵を変更することもできる。通常は、サーバーにログインして操作し、ランダムな数値で更新させた秘密鍵を、手元のデバイス(スマホなど)で受け取る。コードなどで画面に表示する方法をとるようだ。アプリの場合、秘密共有鍵は「受け取り専用」なので、スマホを買い替えたりした場合は、サーバーに入り、鍵を更新して受け取る必要がある。コードとして表示する機能がある。いうことは、スマホの買い替え時などには、鍵を再発行することなく移行が可能だ。これはとりもなおさず、第三者が秘密鍵を盗むのも簡単だ、という意味になる。スマホ自体にちゃんとロックをかけておけば盗むための操作もできないはずだけど、どちらを使うかはお好みで。ワンタイムパスワードの共通規格が普及しつつあり、2段階認証で使用できるサイトも増えている。したサイトが増えれば、パスワードを盗まれたとしても、簡単にログインされることはなく、被害は受けづらい。現在のところ、こうした「安全な本人確認方法」に対応していないサイトは、まだまだ多い。したサイトでは、5年前の記事のパスワード管理方法は、依然として有効だ。逆に、十分に安全なサイトで迄パスワード変更の手間をかける必要はない、ともいえる。した安全なサイトが十分に増えて、パスワードなんて不便なものはなくなってくれればありがたいのだけど。申し訳ありませんが、現在意見投稿をできない状態にしています。⇒この記事のURLスマホを買い替えた。使っていたが、2世代後の後継機だ。1世代が1年なので、2年目の買い替えになる。高いので3年くらい使いたいところなのだけど、消費税増税前の駆け込み需要というやつだ。