脅威情報ネットの安全セキュリティ用語HOMEネットの安全このパスワードは危険!強固なPWを設定するための5条件と忘れないための管理のコツこのパスワードは危険!強固なPWを設定するための5条件と忘れないための管理のコツTweetPocketネットの安全2018.8.20みなさんはパスワードを破られない自信はありますか?警察庁の発表によると不正アクセス禁止法違反の検挙者数は平成26年から増え続けており、不正アクセス行為の手口として「パスワード設定・管理の甘さにつけ込む手口」が最多となっています。ソーシャルアカウントの利用増などインターネットで利用するサービスの種類は増えており、管理するパスワード数が多くなり、どうしても管理に“スキ“が出てしまっているのかもしれません。手間をかけずに安全なパスワードを作り、管理する方法はないのか?パスワード以外にセキュリティ強化する方法はないのか?ここではパスワード管理のポイントを解説しつつ、最近アカウントの乗っ取りが多く報告されているソーシャルメディアアカウントのパスワード管理とアカウント認証強化の手順について解説します。ソーシャルアカウントで支払いができるサービスなども出始めている中で、アカウントを乗っ取られると金銭的な被害が出る可能性もありますので、しっかり対策をしておきましょう。複雑なパスワード設定が推奨されるものの、管理が煩雑になってしまう現実はあります。パスワードの使い回しをしないことはもちろんですが、複雑なパスワードを設定することも大切です。その理由を組み合わせごとの強度という視点から見てみましょう。単純なパスワードは数秒もかからずに破られてしまう例えば、ブルートフォースアタック(総当たり攻撃)の手口ではIDとパスワードを片っ端から試行していきます。簡単なパスワードを設定していると、数秒もかからず破られてしまいます。ここでは組み合わせごとのパスワード強度を見てみましょう。右下に行くほど解読に時間がかかることになります。<使用する文字数ごとの組み合わせパターン数>※使う記号の数は31種類として計算しています。近年は銀行のATMでの静脈認証やスマートフォンでの指紋認証・顔認証などの生体認証が普及し始めています。)や行動的特徴(筆跡、まばたきなど)を利用して個人の特定を行う方法です。文字列を利用したパスワードに比べて、記憶忘れや管理の手間がないといったメリットがある一方で、識別性能の問題(たとえば双子を誤認する)や情報変更の課題(文字列のパスワードのように意図的に変更できない)などがあります。今後普及が拡大していくと思われますが、現時点ではまだまだ文字列によるパスワードが主流で、文字列を主体としたパスワードをどのように管理していくかが課題となります。2.堅固なパスワード生成を行う具体的手順まずはセキュリティレベルが高いパスワード設定、これらのパスワードの管理方法について具体的にみていきます。安全性の高いパスワードの設定~破られないための5つの条件パスワードを作成する際は原則として以下の5つの条件を満たしたパスワードを設定しましょう。現在使用しているパスワードもこれらが反映されているかチェックしましょう。2017(PDF))なども参照してリスクの高いパスワードを使用しないようにしましょう。会社利用と個人利用を合わせるとパスワードが必要なサイトが数十になることもあるでしょう。すべてランダムに設定するのも手間ですし、複雑になるほど覚えきれないということもあります。そこで強固なパスワードであることに加えて、忘れないパスワードであることも重要です。意味のある文字列をパスワードに使いたい場合、以下のようなルールを作って、本人しかわからない規則性を持たせるという方法もあります。(ここでは説明のため簡単な文字列を使用していますが、上記「安全性の高いパスワードの設定」にあるようなパスワードを設定しましょう。Online)などで強度を確認してみるのも良いでしょう。複雑パスワードをしても覚えていられない、そんなときには管理ツールの活用が有効です。Excelや紙での記録なども方法としてはありますが、ここではパスワードを管理するためのアプリを3種類ご紹介します。2,678円/年で管理できるログイン情報が無制限に。key、Keeper。この3つのパスワード管理アプリ・ソフトについて、主な機能比較を一覧表にまとめました。上記でご紹介したパスワード管理の手順に従って管理をしていけば、まずは一安心と言えますが、それでもパスワードが漏れてしまったり、利用していたサービス側の問題で漏えいするなど自分以外の要因で不正ログインされてしまう可能性もゼロではありません。そこでここでは、パスワードが漏れて最初の入口を破られてしまった場合を想定して、その次のゲートを設けたり、破られたことを早期に発見するための方法をソーシャルアカウントをベースにご紹介します。セキュリティを強化するためには重要な対策ですし、簡単にできますので、未設定の場合は今すぐ設定を行いましょう。二段階認証を設定するFacebookには、いつもと違うパソコンやスマートフォンなどからログインした際には、ログインコードの入力を求められるように設定できます。ログインコードは、あらかじめ設定したスマートフォンの電話番号にSMS(ショートメッセージサービス)として送られます。このほかにも認証アプリや、USBやNFC接続のセキュリティキー、リカバリーコードなどによる追加認証方法も用意されています。普段使わない機器からのログインに通知を受け取るFacebookの設定から「認識できないログインに関するアラートを受け取る」を有効にしておくと、よく使用するパソコンやスマートフォン以外の機器でログインが行われたときに、通知を受け取ることができます。通知の方法は、Facebook、Facebookの「Messenger」、「メール」が用意されています。二段階認証のように不正なログインを阻止することはできませんが、自分以外の人によるログインを把握することができます。ログイン認証を強化するTwitterにログインする際に、IDとパスワードに加えて6桁のセキュリティコードを設定できます。これは、Twitterにログインする際に、あらかじめ登録した携帯電話に6桁のコードが送られるというものです。この設定をしておけば、たとえIDとパスワードを第三者が入手しても、携帯電話がなければログインできないので、不正ログインによる乗っ取りを回避できます。電話番号を登録する認証を追加するには、WebブラウザでTwitterにアクセスし、電話番号を登録する必要があります。登録したらモバイルアプリから追加認証を設定します。ログイン認証を設定するログイン認証の設定は、WindowsかmacOSのみで可能となっています。設定の手順は次のようになります。パスコードの設定LINEは基本的にログインしたままの状態になっているので、スマートフォンの紛失や盗難によって、第三者にLINEの設定などを盗み見られてしまう可能性があります。LINE設定画面では、アカウントに紐付けられたメールアドレス、LINEの表示名などを確認できますし、パスワードの変更も現在設定されているパスワードを入力する必要がありません。スマートフォンが自分の手に戻ってきても、これらの情報を知られてパスワードを変更されていたら、いつ乗っ取りに遭ってもおかしくない状況になってしまいます。万一、スマートフォンを紛失してしまったときは、ヘルプページからアカウントの一時停止を申請するなどの対応を行いましょう。スマートフォン自体にパスワードや、指紋などの生体認証を設定しておくとよいでしょう。LINEには、パスワードを追加できる「パスコード」機能が用意されています。「ログイン中の端末」をチェックするLINEは、スマートフォンでは1台しか同じアカウントを使用できませんが、パソコンやiPadでは、同じアカウントを使用できます。このため、使用開始時にはスマートフォンに届く認証番号が必要にはなりますが、IDとパスワードを入手した第三者がパソコンやiPadでログインする可能性もあります。LINEのアプリには、「設定」→「アカウント」にある「ログイン中の端末」で、パソコンやiPadのログイン状況を確認できます。この画面に、心当たりのないパソコンやiPadが表示されるようでしたら、「アカウント」の「ログイン許可」のボタンをオフにすることで、ログイン中のパソコンやiPadは即座にログアウトされ、以降はログインできなくなります。インスタグラムのセキュリティ強化インスタグラムには、二段階認証が用意されています。これは、インスタグラムにログインする際に、あらかじめ設定した携帯電話番号に送られるセキュリティコードの入力が必要になるという機能です。パスワードが判明されても、セキュリティコードを入力しないとログインできないため、不正ログインへの有効な対策になります。【手順1】スマートフォンでは、画面の右下にある人の形をしたアイコンをタップします。【手順2】マイページが開くので、画面の右上にある「...」の部分をタップします。【手順3】「二段階認証」をタップします。【手順4】「セキュリティコードをオンにする」のボタンを有効にします。【手順5】インスタグラムに電場番号を登録していない場合は、その場で登録できます。【手順6】電話番号を入力して、右上の「次へ」をタップします。【手順7】設定した電話番号に認証コードが送られるので、そのコードを入力します。【手順8】認証コードを受け取れないときのためのバックアップコードが表示されます。スクリーンショットを撮れるので保存しておくとよいでしょう。【手順9】二段階認証が有効になりました。4.まとめいかがでしたでしょうか。パスワードは強固であると同時に、管理可能であることが重要です。今回ご紹介した方法を参考に効果的、かつ、効率的なパスワード管理を検討してみてはいかがでしょうか。今回紹介した方法でパスワード管理を徹底しても、破られるリスクは付きまといます。オンラインバンキングなどは銀行側でワンタイムパスワードなど導入しているケースも多く、比較的安全性が高いと言えますが、ソーシャルアカウントなどは二段階認証などを設定して、1つのパスワードだけに依存しない管理をしてセキュリティを高めていきましょう。脅威情報ネットの安全セキュリティ。