現在地 HOME > 掲示板
> ＩＴ３ > 111.html
★阿修羅♪
|
現在地 HOME > 掲示板
> ＩＴ３ > 111.html
★阿修羅♪
|
|
エンタープライズ：特集 2003/10/03 20:23:00 更新
パスワード設定のホントとウソ（前編） (1/2)【なるほど、仕組みを分ってる方が効果的だ。】
http://www.zdnet.co.jp/enterprise/0310/03/epn15.html
しばしば「パスワードは長ければ長いほどいい」「付箋などにメモしては
いけない」などと言われる。だが、時代の変化やパスワードシステムの仕
組み、現実の運用を踏まえると、中には妥当でないことも多い。その真偽
について迫ってみよう。
コンピュータセキュリティを構成する基本的かつ重要な要素として、本
人認証がある。その本人認証を行う上で、現在最も幅広く利用されている
手段がパスワードだ。しかしパスワードは、運用の仕方によってはまった
く意味を持たなくなってしまうこともあり、セキュリティ上の大きな問題
となっている（別記事参照）。
パスワードが正しく運用されていない原因の1つに、誰もがパスワード
の強さについて知っているわけではなく、今自分が利用しているパスワー
ドがどれくらい弱いのか、そしてどうすれば強くなるのかについて、理解
していないことが挙げられるだろう。そこでこの記事では、一般に言われ
ているパスワードの「迷信」を真正面から斬って、パスワードの強さの本
質について考察し、適切なパスワード運用を行うための指針を示していく。
そもそもパスワードの「強さ」とは何？ そもそも、パスワードの強さと
は何のことを示すのだろうか？ 憶えにくいパスワードならば強いのだろ
うか？ それとも長いパスワードが強いのだろうか？ その答えは、パス
ワードの使命について考えてみれば見えてくる。
誰かのパスワードを知ることができれば、そのパスワードによって守ら
れている各個人の個人情報や企業の秘密情報などを手に入れることができ
る。パスワードが他人に知られてしまうと、もうパスワードは無意味なも
のになる。つまり、パスワードとは、他人には知られてはいけないものな
のだ。
しかし、世の中には悪意を持って他人のパスワードを知ろうと試みる人
がいる。こうした悪意を持った攻撃者は、他人のパスワードを知るために
さまざまな推測方法を研究してきている。そう考えていくと、パスワード
の強さとは、このようなパスワードの推測に対し、どのくらい長い間ばれ
ない（＝推測されない）パスワードであるかが指標となる。
パスワードはいかにして推測されるか このような悪意を持った攻撃者た
ちは、パスワードの推測を行う際にさまざまなパスワード推測アルゴリズ
ムを用いる。中でも一般的には、3つの段階に分けて推測が行われること
が多い。
彼らが最初に試すのは、その人の情報から類推されるパスワードだ。つ
まりユーザーの名前、生年月日、社員番号、好きな物の名前など、その人
に関する情報や趣味、嗜好などから類推しやすいものが試される。
そして次に、辞書アタックと呼ばれる推測が行われる。この段階では、
あらかじめ用意された単語リストに載っているパスワードが試される。こ
の単語リストには、辞書に掲載されている単語や一般にパスワードとして
使われやすいワードなどが載っている。
ここまでの推測で見つからなかった場合、最後の手段として、ブルート
フォースアタック（総当り攻撃）と呼ばれる推測手段が取られる。この段
階では、パスワードとなりうる文字の組み合わせがすべて試される。
攻撃者が最初に試す「ユーザーの情報を用いた推測」では、試されるパ
スワードの数も少ないため、攻撃者が自らパスワードを入力してパスワー
ド推測を行うこともある。しかし、それ以降試みられる辞書アタックやブ
ルートフォースアタックでは、推測に用いられるパスワードの数も非常に
多い。このため、PC上で自動的にパスワードの推測を行うツールがいくつ
も存在する。現実に、パスワードの推測は、これら自動化されたツールを
用いて行われることが多い（画面1）。これらのツールを使えば、現在の
コンピュータの性能でも、1秒当たり数千から数十万ものパスワードを試
すことができる。「パスワードは他人にはばれないだろう」と考えている
人たちの想像を超える速さで、パスワードの推測は行われるのだ。
パスワード推測ツールの一例。あっという間に数千以上のパスワードを試
すことができる
この結果、ユーザー情報から類推されるパスワードや辞書に載っている
ような単語を使ったパスワードを用いていると、わずか数秒から数分でそ
のパスワードが推測されてしまう。一般に「ユーザーの名前や誕生日、辞
書に載っている単語などをそのままパスワードに使ってはいけない」と言
われているが、そのとおり、これらはやはり絶対に使ってはならない非常
に弱いパスワードなのだ。
また、総当り方式でパスワードの推測を行うと、理論上いつかは必ずパ
スワードが判明する。したがって、絶対にばれない最強のパスワードなど
というものは存在しない。
パスワードの迷信を斬る ここまで、パスワードをめぐる脅威にはどんな
ものが存在するかについて説明してきた。これを踏まえると、適切なパス
ワードを設定することがいかに重要かがお分かりいただけるのではないだ
ろうか。
では、その「適切なパスワード」とは、いったいどのようなものだろう
か。実のところパスワードに関しては、昔から言われ続けている迷信的な
アドバイスがいくつもある。そしてこれらの中には、パスワードを使用す
る環境の変化などによって実情に合わなくなってしまったものや、そもそ
も根拠が曖昧なものも含まれている。
そこで、現在使われているパスワードシステムに照らし合わせながら、
これら迷信の真偽を暴いてみよう。
エンタープライズ：特集 2003/10/03 20:23:00 更新
パスワード設定のホントとウソ（前編） (2/2)
1. 強いパスワードを使わなければならないのか？
たとえどんなに強いパスワードを使っても意味がない場合がある。たと
えば、メールをサーバから取得するための代表的なプロトコルであるPOP
の場合、パスワードが平文のままネットワーク上を流れる。もし、悪意を
持ってネットワークの盗聴を行っている人がいれば、その人にはメールの
パスワードが筒抜けになってしまうのだ。
このように、パスワード自体が平文で見えてしまうシステムの場合、わ
ざわざ推測などしなくともパスワードが他人にばれてしまう。パスワード
の強さとは、いかに推測に時間がかかるかであるため、上記に挙げたPOP
やTelnet、FTPなど、パスワードが平文で見えてしまうシステムならば、
どんなパスワードを使っても弱いパスワードにしかならないのだ。
このようなシステムでは、パスワードは必ず誰か第三者に知られてしま
うことを前提として、他のシステムで使うパスワードとは違うものを用い
るべきだ。
2. パスワードを長くすれば強くなるのか？ 必ず8文字以上にする必要が
あるのか？
パスワードの推測の難しさという点から考えると、パスワードは長いほ
ど推測が難しくなるというのは事実だ。つまり、長いパスワードほど強い
パスワードになる。しかし、そのパスワードがシステム内でどのように使
われているかによって、実際の強さが変わってくる。
UNIX系のいくつかのシステムでは、実際の認証では、入力されたパスワ
ードのうち8文字分までしか使っていない。つまり、8文字を超える部分は
パスワードの強さに影響を与えないのだ。このようなシステムで使うパス
ワードでは、8文字までの部分で十分な強さを確保する必要がある（図1）。
UNIX系のパスワードでは最初の8文字までが重要。この部分までで十分な
強度を持たせる必要がある
1つ注意が必要なことがある。中には、パスワードを使う側からは、こ
のような文字数の制限が存在するのかどうか分からないケースがあること
だ。システムの中には、注意書きとして8文字までの制限について明記し
ているものや、逆に8文字までしか入力できないように制限しているとこ
ろもあるが、中には注意書きもなく入力制限もないのに、システム内部で
は8文字までしか使っていないところもある。こうなるとユーザーは「パ
スワードを長くしているから大丈夫」と油断することになりかねない。自
分が利用しているシステムはどちらに分類されるのか、注意が必要だ。
3. 大文字と小文字を混ぜるべきか？
UNIX系のパスワード認証システムでは大文字と小文字を区別するため、
これらを混ぜることに意味がある。しかしWindows 9x／Meでは、パスワー
ド中の英小文字はすべて大文字に変更されてしまう。したがって、
Windows 9x／Meの場合、大文字小文字を混ぜても強いパスワードにはなら
ない。
またWindows NT／2000／XPでも、14文字以下のパスワードを設定した場
合には、Windows 9x／Meと同じ方式の認証方式もサポートするため、すべ
て大文字の場合と同じ程度の強さにしかならない。つまりWindowsのパス
ワードでは、大文字と小文字を取り混ぜてパスワードを作り、それを必死
になって憶えたとしても、実は何の効果もないのだ。
4. 記号が入れば強くなるのか？
パスワードに記号を加えることは必須だ。記号を組み入れることで、パ
スワード推測の難しさはUNIXのパスワードでは約30倍、Windowsのパスワ
ードでは約100倍も違ってくる。1つでもいいから、パスワードの中には記
号を入れるべきだ。
また、Windowsで古くから採用されているLMハッシュと呼ばれる認証方
法では、記号の入れ方に工夫が必要になる。LMハッシュではパスワードを
7文字ずつに区切り、各部分ごとに暗号化を行う（図2）。したがって、7
文字ごとに区切られた各部分に記号が入っていないと、全体として弱いパ
スワードになってしまう。
Windows系のパスワードでは、7文字ごとに強化することがポイント
このことを踏まえ、Windowsでは7文字ごとに記号を入れよう。LMハッシ
ュはWindows 9x／Meでパスワードを使う場合、あるいはWindows NT／2000
／XPで14文字以下のパスワードを使う場合に使われる。
5. 本当にパスワードをメモしてはいけないのか？
パスワードを記録せずに記憶しておけるのならば、それが最善の方法だ。
しかし、人間の記憶力には限界がある。憶えにくくしかもたまにしか使わ
ないパスワードを憶えておくのは困難だ。また、メモを取ることを禁止す
ることで、記憶しておけるようにとユーザーが簡単で弱いパスワードを使
うようになっても逆効果である。
あいまいな記憶を頼りにしていると、思わぬ罠にかかることもある。あ
るサイトにアクセスしたときにパスワードを要求されたらどうするだろう
か？ 以前にもそこにアクセスした記憶があるのなら、そのときのパスワ
ードを入力するだろう。しかし、そのパスワードが拒否されたら？ おそ
らく、記憶をたどって憶えている限りのパスワードを入力し始めるのでは
ないだろうか。すると最終的に、あなたが使っているパスワードはすべて、
そのサイトに収集されることになるかもしれない。
したがって、どうしても憶えられない場合はパスワードをメモしておく
のも1つの方法だ。ただし、そのメモはパスワードを使う場所とは物理的
に離れたところに保存しておくべきだ。また、そのメモからすぐにはパス
ワードがわからないように、メモの取り方にも工夫を凝らしたほうがいい
だろう。
今回はひとまずここで筆をおくが、次回は、残る4つの「迷信」につい
て検証するとともに、パスワード設定・運用に役立つ実践的な手法につい
て紹介したい。
関連記事
Windowsのパスワードはやはり脆弱
「パスワードこそセキュリティの根本」とセキュリティフライデー
関連リンク
セキュリティフライデー
パスワード運用支援ソフトウェア「認術修業」
題名には必ず「阿修羅さんへ」と記述してください。