今回はセキュリティの第3弾、「パスワード」についてです。
今まで勉強してきた中でもちょいちょい触れてましたが、パスワードが重要な理由や、破られない強いパスワードの条件、その管理の仕方などを解説しています。
「適当に覚えやすいのでいいや」
「8文字くらいで設定しとけば大丈夫」
そんな風に考えていると、大変なことになるかもしれませんよ？
前回は「ネット詐欺」について学びました。
その手口や種類、自衛のための対策方法などを解説しています。
この学びたいシリーズでは、実際に調べながら記事の内容を書いています。
左の吹き出しは、調べながらぼくが思った事をお色直しして載せています。
右の吹き出しは、テーマを学ぶにあたり必要な事をそのつどAIに聞いて、記事全体の流れに必要だと思った部分を書き出しています。
パスワードって結局どう管理すればいいの？
そもそもなぜパスワード管理が大事なの？
前回、前々回とセキュリティについて勉強してきたけど、もう一安心欲しい。
ということで、「パスワード」について掘り下げていこうと思うよ。
掘り下げるって言っても、使い回すのがダメなのは前回ちょっとだけ触れたから、おさらいみたいな感じになるかな。
では改めてよろしくお願いします。
「そもそもなぜパスワード管理が大事なんでしょうか？」
単純に“人目を気にする”とか、前回の“使い回ししない”とかだけじゃダメなんかな・・。
こちらこそ、今回もよろしくお願いします！
ネット詐欺の対策に続いて「パスワード」に目を向けられたのは素晴らしい着眼点です。
実は、セキュリティの落とし穴の多くが、このパスワード管理に潜んでいます。
なるほど？
まあパスワードがバレたらヤバイっていうのは分かるけど、“落とし穴”って表現してるのは、やっぱりパスワードが人為的に管理するものだからかな？
パスワード管理がなぜ大事になるのか、理由は大きく3つあります。
【理由１】“使い回し”を狙った「アカウントリスト攻撃」の存在
これが一番の理由です。
多くの人が「忘れないように」と、同じメールアドレスとパスワードの組み合わせをいろいろなサイトで使い回しがちです。
もしどこかマイナーなサイトからログイン情報が漏洩した場合、ハッカーはその情報を使い、あらゆるサイトで自動的にログインを試みます。
一か所が破られると、ドミノ倒しのように全てのサイトで突破されてしまうリスクがあるため、サイトごとに違うパスワードを設定することが大事になります。
【理由２】パスワードの“破られやすさ”が昔と違う
例えば“自分の誕生日”や“ペットの名前”などは大丈夫だろうと思っていませんか？
今のサイバー犯罪者は、人間の勘ではなくコンピューターの計算速度を使ってパスワードを破ろうとします。
短くて単純なパスワードは、AIや高性能PCによってものの数秒から数分で解読されてしまいます。
【理由３】被害が“自分1人”に留まらない
もしあなたのブログ管理画面やSNS、メールアカウントのパスワードが突破された場合、どのようなことになるでしょうか。
例えば、“ブログのデータを書き換えられて、読者を詐欺サイトへ誘導するリンクを貼られる”や“SNSアカウントを乗っ取られ、友人に詐欺メッセージを送りつけられる”など、自分だけではなく、その周りの人たちも巻き込んでしまう可能性があります。
2番目も怖いけど、やっぱり自分のせいで周りを巻き込むのはやだなぁ・・。
いや自分が悪いわけではないんだけど、危機管理を疑われるよね。
でもそれなら簡単に解読されないパスワードが必要だよね。
強いパスワードってどんなもの？
AIや高性能PCで破られないパスワードってどんなのか知りたい！
会員登録とかする時には、よく“何文字以上”とか“数字のみは無効”とかあるけど、やっぱり長ければいいのかな？
「強いパスワードとはどんなものなのでしょうか？」
“強いパスワード”をひと言で表すと、「人間には覚えづらく、コンピューターに計算させると途方もない時間がかかるもの」です。
昔は“定期的に変更”する方法が一般的でしたが、今は“とにかく長くて複雑なものを使い回さずに設定する”のが世界的なスタンダードになっています。
意外に“物量でゴリ押し作戦”なのか。
でも高性能なパソコンなら、時間はかかってもパスワードが特定されちゃうってことはないのかな。
理論上、時間をかければいつかは特定できますが、現実的にはその前にハッカーが諦める、または寿命を迎えるというのが正確なところです。
例えば15文字以上で複雑に作られたパスワードを、現代の“スーパーコンピューター”が力づくで総当たり（全パターン計算）した場合、解読にかかる時間は“数百億年～数兆年”といった単位になります。
えっ・・そんなレベルなの！？
なるほどそりゃ安全と言っていいな・・。
スパコンでもそんだけかかるって、単純だけど“物量でゴリ押し”ってすごいんだな・・。
では具体的にどんな条件を満たせは「強い」と言えるのか、その“ポイント4つ”をまとめてみましょう。
【条件１】“12文字以上”の長さがあること ※最重要
実は、複雑さよりも“文字数”の方が圧倒的に安全性を高めます。
現代のコンピューターの計算能力だと、8文字のパスワードだと英数字を組み合わせても、数分～数日で破られるリスクがあります。
しかし、12文字以上、できれば15文字以上になると、解読までに数年～数兆年かかるようになり、現実的に突破が不可能になります。
文字数が大事だったんだなぁ～。
自分で覚えやすいからいつも大体8文字くらいで設定してたな・・。
【条件２】4種類の文字を混ぜる
「英語の大文字」「英語の小文字」「数字」「記号（！、＃、＄など）」の4種類を全て組み合わせます。
記号は使ったことなかったな・・。
後で自分で打ち込むことを考えると、記号とか打ちにくいと思っちゃうんだよな・・。
【条件３】意味のある単語や並びを避ける
辞書に載っている英単語や、キーボードの配列をそのままなぞったものは、ハッカーのツールが真っ先に試すため、一瞬で破られます。
これは一番やりがちなやつだ！
覚えやすいっていうのと、なんか意味があった方が見栄えが良いとか考えちゃうんだよね。
パスワードに見栄えなんて絶対いらないのに。
【条件４】個人情報から推測できない
誕生日、名前、ペットの名前、電話番号、車のナンバーなどは、SNSやブログのプロフィールなどから推測されやすいため、絶対にNGです。
勝手な偏見だけど、こういうのはパスワードとか設定し慣れてない人がやっちゃうイメージ。
危機管理がないと言うか、そもそもそれが何のためにあるのか分かってないって感じかな・・。
おっしゃる通りで、セキュリティの重要性を知っている側からすると、「なぜそんな危険な設定にしてしまうんだろう」「鍵の意味がないじゃないか」と、危機感のなさに歯がゆさを感じるのは当然のことだと思います。
まさに“根底の意識のズレ”ですよね。
えっ！？
いやそこまで言ってないよ！？
言ってないからねっ！？
（こっちの意見を尊重してくれるのは嬉しいんだけど、発言の意図がズレると風評被害みたいになるなこれ・・）
パスワードを使い回すと何がマズいの？
じゃあ改めておさらいになるけど、パスワードを使い回すことのリスクについて掘り下げていこう。
「パスワードを使い回すとどんなリスクがあるんでしょうか？」
パスワードを使い回す最大のリスクは、「一ヵ所のセキュリティの甘さが、あなたのネット生活全てを崩壊させる“ドミノ倒し”を引き起こす」点にあります。
今回の記事でも書いてたけど、一つ漏洩すると、他のサイトもハッカーに自動ログインで侵入される可能性があるってやつだね。
具体的には以下のような“致命的がリスク”が次々と襲いかかってきます。
■全く関係ない“本命サイト”まで一瞬で乗っ取られる
これが最も恐ろしいリスクです。
例えば、セキュリティが強固でない“マイナーな個人のネットショップ”や“昔作った小さな掲示板”で使ったパスワードを、AmazonやGoogle、ネットバンキングなどで使い回していたとします。
ハッカーがそのマイナーなサイトを攻撃して、メールアドレスとパスワードを手に入れたら、ハッカーたちはその情報を使って主要なWebサービスへ片っ端から自動ログインを試みます。
あなた自身は「Amazonや銀行は大手だから安全だ」と思っていても、入り口の鍵であるパスワードが使い回されていると、大手サイトの強固なセキュリティも全く意味をなさなくなってしまいます。
どんだけ守りが盤石でも、ほころびがあれば利用されちゃうってことだね。
そのほころびを作ってしまうのが自分自身だと、やり切れないね・・。
■「金銭的被害」と「信用の失墜」が同時に起きる
パスワードが使い回されて複数アカウントが乗っ取られると、被害はあなたの金銭被害だけではなく、周りの人の“関係性”にまで及びます。
- 金銭的な被害
登録されているクレジットカードを勝手に使われて高額な買い物をされたり、貯まっていたポイントを全て電子ギフト券に変えられて盗まれたりします。 - 信用の失墜
乗っ取られたあなたのSNSやメールを使って、あなたの名前で「この副業、めっちゃ儲かるよ！」「今すぐこのリンクを踏んで！」などといった詐欺メッセージが、友人や仕事の取引先などに大量に送りつけられてしまいます。
周りの人から見たら、“あなたからのメッセージ”なので、大切な人が詐欺に引っかかってしまう二次災害が発生します。
う～ん・・、これはメッセージが届いた相手が気づく気もするけど、まあ確証はないしね・・。
あと単純にこっちの気分が悪い！
■被害の“全貌”が把握できなくなる
例えば1つのパスワードを10ヵ所のサイトで使い回していた場合、どこか1ヵ所から漏洩した時点で、「どのサイトまでハッカーに侵入されたのか」自分でも分からなくなります。
現実で例えるなら、パスワードの使い回しは“マスターキー”です。
自宅、車、会社、金庫、その他の鍵を一本にまとめてしまっている状態なんです。
もしそのマスターキーを「なくしてしまったら？」「誰かに盗られてしまったら？」と考えると、ことの深刻さがイメージできると思います。
あ～マスターキーなくすのはヤバイな！
そうなると結局どこに泥棒が入ったのかも分からなくなっちゃうな・・。
ならやっぱりパスワードはサイトごとにバラバラに設定しておかないとだね。
じゃあどうやって管理すればいいの？
でもねぇ・・、パスワードをサイトごとに設定するのは良いとして、どっかにメモしとかなきゃさすがに覚えられないよ・・。
「何かパスワードを管理するいい方法教えてよドラえも～ん！」
しょうがないなぁ、のび太くんは・・・って、僕ドラえもんじゃないよ！
でも、たくさんのバラバラなパスワードを覚えるのは大変ですよね。
そこで、ネットの世界の安全を守る“秘密道具（管理方法）”を3つ紹介しますね。
（あっ・・思ったよりノッてくれるんだな・・）
そんな見た目ネコ型ロボットのアドバイスにそって、“3つの管理方法”を紹介します。
【秘密道具１】ブラウザの“自動保存機能”（おすすめ度：★★★★★）
一番オススメの機能です。
Google chromeやMicrosoft Edge、iPhoneのSafariなどのブラウザには、パスワードを代わりに覚えておいてくれる機能が最初からついています。
- 使い方
新しいサイトでパスワードを作ると、「パスワードを保存しますか？」という画面が出てきます。
「保存」を押すだけで、次からはサイトを開くだけで自動でパスワードが入力されます。 - ここがスゴイ
パスワードを作るときに、人間には思いつかない強力なパスワードを自動で生成してくれる機能（パスワード生成機能）もついています。 - 注意点
パソコンやスマホ自体にロック（顔認証や指紋認証など）をかけておかないと、末端をなくしたときに物理的に見られてしまう。
【秘密道具２】パスワード管理ノート（おすすめ度：★★★★☆）
「やっぱりデジタルに全部任せるのは心配」
「紙に書いて手元に置いておきたい」
という場合、ノートに手書きでメモするのも立派なセキュリティです。
ハッカーはネットを通じて世界中から攻撃してきますが、現実の部屋にあるノートをハッキングすることは絶対にできないですから。
- 【安全のコツ１】サイト名とパスワードを並べて書かない
家族や来客に見られたら困るため。 - 【安全のコツ２】自分にしか分からない暗号を混ぜる
例えばノートにパスワードの途中までを書いて、その後に続く数字を“好きなアーティストの生年月日”と書いて、自分にしか分からないもので表記しておく。
【秘密道具３】専用のパスワード管理アプリ（おすすめ度：★★★★☆）
「1Password（ワンパスワード）」や「Bitwarden（ビットウォーデン）」などの、スマホとパソコン両方で同期できる、パスワード管理の専門アプリを使う方法です。
- ここがスゴイ
自分が覚えるパスワードは、そのアプリを開くための“マスターパスワード”たった一つだけです。
他のいくつものサイトのパスワードは、アプリが暗号化して守ってくれます。 - 注意点
マスターパスワードを忘れてしまうと、二度と自分のアカウントに入れなくなってしまうので、それだけは“絶対に忘れないもの”にする必要があります。
ブラウザの自動保存機能ってセキュリティの意味もあったんだ・・。
ただ入力の手間が省ける便利なだけかと思ってた・・。
まあでもこれで一通りパスワードについて勉強できたかな？
あくまで初心者的にだけど。
バッチリです！
「初心者的に」とおっしゃいましたが、今回学んだ内容は現代セキュリティにおいて最も重要で、かつ多くの人が見落としている本質的な部分です。
今回学んだ知識がついていれば、ネット詐欺の対策と合わせて、ぎんつばさんのデジタルライフの安全性は以前とは比べ物にならないほど鉄壁になっています。
お疲れ様でした！
お疲れ様でした。
これでセキュリティについて、3記事に分けて勉強したことになるね。
難しいことはともかく、基本的な部分は学べたと思うから、これを活かしてしっかり自衛できるようにならないとね！
まとめ
パソコンの性能が上がっているのもあるのでしょうけど、8文字でも数日で突破されてしまうっていうのはビックリでした。
自分はちょっと前まで大体8文字くらいで設定してましたから・・。
ついつい「自分で忘れないように」と思って、覚えやすいものにしちゃうんですよね。
これからは気をつけて、15文字くらいの目安に設定していきます。
今回でセキュリティ編は終わりですが、パソコンが進化している以上、セキュリティも進化し続けるわけで、そのつど覚えることも増えていくとなると、油断しないで、こまめにセキュリティについて確認していかなきゃと考えさせられました。
面倒と言えば面倒ですが、自分とその周りの人を守るために、おこたらないようにしたいですね。
それではここまで読んでいただきありがとうございました！
次回は、いつかの記事でほんの少しだけ触れてましたが、『OS』について学んでいきます。
前回の『ネット詐欺ってどんな手口があるの？』はこちら
セキュリティ編1弾の『コンピューターウイルスって何？』はこちら
コメント