パスワードを現実的に管理する方法

最大の危険は使い回し

パスワードが破られる最も多い経路は推測ではなく、どこかのサービスから漏れた一覧を別のサービスにそのまま入れてみる方法です。そのため、どれほど複雑なパスワードでも複数の場所で同じものを使えば、一か所が破られた瞬間にすべて破られます。複雑にすることより、互いに違うものにすることが先です。漏れた一覧を多くのサイトに自動で試す攻撃は人手がいらないため、費用がほとんどかからず、それだけ頻繁に起きています。

複雑さより長さ

大文字と記号を混ぜよという要求は古い基準で、実際には長さのほうがずっと大きく効きます。覚えやすい単語をいくつかつないだ長いパスフレーズは、短くて入り組んだものより安全でありながら覚えやすくもあります。ただし有名な一節をそのまま使うのは避けるべきです。たとえば互いに関係のない単語を四つつなげれば、覚えやすいうえに総当たりで当てるのは非常に難しくなります。

管理ツールを使うとき

全部違うものにすれば覚えられないので、どこかに保存する必要があります。専用のパスワード管理ツールはこの目的のために作られており、マスターパスワードを一つ覚えるだけで済みます。どの方法を使うにせよ、保存した場所自体が破られればすべて露出するので、マスターパスワードは他のどこにも使っていないものでなければなりません。管理ツールを選ぶときは、長く運営されているか、端末間の同期が暗号化されているか、マスターパスワードを忘れたときの復旧方法は何かを前もって見ておきましょう。

• 専用の管理ツール:目的に合わせて設計されている
• ブラウザへの保存:手軽だが端末の安全に全面的に依存する
• メモアプリ:暗号化されていなければ危険
• 紙:ネット上の漏えいには強いが紛失に弱い

2段階認証が実質的な防御線

パスワードはいつでも漏れうると考えるほうが現実的です。2段階認証を入れておけば、パスワードを知られてもログインされません。SMSで受け取る方式より認証アプリや物理的なセキュリティキーを使うほうが安全で、どの方式でもリカバリーコードを別に保管しておかないと、端末を失ったときに締め出されます。認証アプリは機種変更のときに移行の手順が必要なので、端末を替える前に確認しておいてください。

大事なものから順に

すべてのアカウントを一度に整理しようとすると始められません。ほかのアカウントを復旧する通り道になっているところから手をつければよいのです。メールのアカウントが破られると残りはすべて再設定されうるので、ここが最優先です。次に金融や支払いの情報があるところ、そして残りの順になります。メールのアカウントでは、2段階認証も真っ先にオンにしておくのがよいでしょう。

漏えいを知ったとき

使っているサービスで漏えいの知らせがあったら、そのサービスのパスワードをすぐに変え、同じパスワードを使っていたほかの場所もすべて変えます。ログイン履歴や接続した端末の一覧に覚えのないアクセスがあればログアウトさせ、2段階認証が切れていたならこの機会にオンにします。漏えいに関連して届くメールやSMSはフィッシングかもしれないので、リンクは押さずにサイトへ直接アクセスして対応してください。

• 該当するサービスのパスワードを変更
• 同じパスワードを使っていた場所をすべて変更
• ログイン履歴と接続した端末を確認
• 2段階認証をオンにする

頻繁に変えるよりきちんと一つ

決まった周期でパスワードを変えさせると、末尾の数字を一つずつ増やすような予測しやすい型が生まれがちです。米国国立標準技術研究所の指針も、定期的な強制変更を勧めない方向に変わりました。漏えいの兆候がなければ長く固有のパスワードを保ち、漏えいが疑われたときにすぐ変えるほうが現実的です。ただし会社や機関が規定で変更の周期を定めているなら、その規定に従う必要があります。

フィッシングはパスワードを丸ごと奪う

どれほど強いパスワードでも、偽のログイン画面に自分で入力してしまえば意味がありません。メールやSMSのリンクから開いたログイン画面はまずアドレスを確かめ、怪しければブックマークやアプリから直接入ってください。管理ツールの自動入力はアドレスの違う偽サイトでは働かないので、いつもは効く自動入力が効かないときにもう一度疑う習慣が役に立ちます。

• リンクから開いたログイン画面はまずアドレスを確認
• 自動入力が効かなければ手を止めて疑う
• パスワードや認証番号を尋ねる連絡には応じない