Sinner The Sinner

安全なパスワードの作り方、マカフィーが指南 -INTERNET Watch

よく使われるパスワードとしては、1）グローバルパスワード、2）パスワード候補リスト、3）秘密のパスワードやメモ帳――という3通りが挙げられるという。

1）は、すべてのオンラインアカウントで同じパスワードを使い回す方法で、マカフィーは「最も避けるべき方法」と指摘する。その理由としては、例えば何年も前に買い物で利用したサイトがハッキングされただけで、現在も利用しているアカウントもすべて破られてしまうためだ。

2）は、パスワードを複雑さで分類して利用する方法。一番複雑なパスワードは金融関係、やや簡単なパスワードはショッピングサイト、その他のパスワードはSNSで使用するといった具合だ。マカフィーによれば、「グローバルパスワードよりはるかに良い方法」というが、「最善策ではない」。

3）は、アクセスするサイトごとに異なるパスワードを使う人が、大量のパスワードをメモ帳に書き留めることだ。この方法については、メモ帳を紛失したり盗まれる可能性があると指摘。また、定期的なパスワード変更を課す多くの企業では、パスワードを書いた紙切れが引き出しなどに置かれ、他人が簡単に入手できるケースもあるとしている。

僕は3)の方法でパスワードを管理している。もちろんメモ帳なんぞではなく、TrueCryptで暗号化したテキストファイルに、ではあるけど。

そもそもパスワードというのは強固にすればするほど人が管理しにくくなるというシロモノである。皆が覚えられるようにrootのパスワードを”1234″にしている例を見たときは卒倒しそうになったが、かといってランダムで複雑なパスワードを付箋でディスプレイに貼っているという例にも吹き出しそうになる。

僕は8桁の英数字ランダムパスワードなら、数回キーで打てば覚えられる体質らしく、なのでPCのログインやTrueCryptの複合パスワードは空で暗記している。基本的にここを破られたらアウトってのが、所持しているPCの盗難やクラック、そしてパスワード記載ファイルの流失だと考えている。ここを防げばパスワードをテキストファイルに記録するのもアリなんじゃねえかと。いつぞやのアメブロのパスワード流出騒ぎで「Excelにパスワード保存しているなんて」という書き込みを見たが、僕はExcel保存よりもむしろそのファイルへのアクセスポリシーや流出防止対策が不十分だったことこそ責められるべきことだと思う。

パスワードを記録したテキストファイルをTrueCryptで暗号化。復号にはパスワード入力だけでなく復号鍵もあわせて必要としているので、TrueCryptファイルだけが流出してもそれを破るのは困難なんじゃないかと。なので、そのTrueCryptファイルはDropBoxで複数のPCで共有している。復号鍵は必ずUSBメモリで運んで、インターネット上に流さないようにしている。SSHの秘密鍵と同じような扱いだな。

これだとPC自体が盗まれた場合に復号鍵がすでにある状態（もちろん鍵と分からないようなファイル名にはしてあるけど）でパスワード解析されたらアウトだけど、そもそもPC盗まれたらパスワード以外にもすべてのデータが取られるという緊急事態なわけで、そのあたりは利便性を優先している。

つうか、先に言った通り、パスワードを強固にすれば覚えられないし、覚えようとすれば破られやすくなるわけで、パスワードにかわる認証方式が必要なのかも知れない。SSHのように認証登録時に秘密鍵をダウンさせておいて、次回からはその鍵でログインすればいい。で、その鍵は定期的に更新させるとかどうだろう。うーん、非現実的か。