See new world――振り返るとセキュリティ・ダークナイトはいるよ（前編）

守る者と攻める者

　この連載タイトル「セキュリティ・ダークナイト」は、筆者の大好きな映画「ダークナイト」から拝借している。第1回では、この連載タイトルについて以下のような説明をしていた。

　いま読み返してみると、セキュリティにおける現状は、この様相がさらに色濃くなっているような気がしてならない。

　この「ダークナイト」という映画について調べ直したところ、全米公開日は2008年7月18日であった。この最終回も連載の回数（番外編を含む）でいうと第18回目に当たる。18日と18回目、筆者にとっての終りであり、始まりとしたいという意味を込め、今回を最終回とさせていただこうと思う。最終回では、筆者がこの連載を通じて得たもの、考えたことを記事の幾つかを振り返る形で皆さんにお伝えしたい。

終わらない「パスワード定期変更」議論

　まずは第6回「パスワードの定期変更という“不自然なルール”」（2011年2月4日公開）から振り返ってみよう。この記事は最も多くの方に読んでもらえた記事かもしれない。

　この記事ではパスワードクラックのツールや手法を紹介するとともに、いまだに当たり前のように対策として考えられている「パスワード定期変更」の効果の薄さと、皮肉にもそれによって誘発される「複数のサービスでの同一パスワードの使い回し」の怖さについて解説したものだった。

危険度が高い指摘における「パスワード関連」の問題と「その他の問題」の割合。パスワードが引き起こす問題は当時から多かった（「パスワードの定期変更という“不自然なルール”」より）

　この記事を書いてからもう3年の月日が経った。この頃にはまだ「リスト型攻撃」という言葉もなかったが、現在では当たり前のように「他社から漏えいしたと思われるIDとパスワードを利用して〜」という、いまやお決まりとなった文言が書かれたリリース文とともに、多くの被害件数が報告され、金銭的（実際には換金性の高いものへと交換するポイントが主だが）被害も増加している。

　筆者は複雑なパスワードを設定し、使い回しをやめるという対策を幾度となく啓発してきたが、結果としてはいまだ被害が無くならない状況である。おそらく使い回しは「分かっちゃいるけど、やめられない」のだろう。

「分かっちゃいるけど、やめられない」と「鉄則」の関係

　その状況がなかなか無くならない理由の1つは、幾つかの「鉄則」を示すのみで、その実施方法が示されないことで、結果として無理難題となっていることが挙げられる。ここでいう鉄則は、筆者が啓発し続けている、下記の2点である。

• 長く、多くの文字種を用いた強固なパスワードを使用する
• 複数のサイトで同じパスワードの使い回しをしない

　筆者が見聞きしてきた限り、この鉄則を示された多くの方は「そんなこと言われても沢山の複雑なパスワードは覚えられない。すぐに忘れてしまう」といった反応をする。（試しにTwitterで「パスワード」を検索してみるのもいいだろう）。また、鉄則を示されるだけで、実施方法がはっきりしないことにより、パスワードは暗黙に「記憶するもの」と思い込んでいる方も多いように感じる。

　もちろん、この記事をお読みの方々はセキュリティ意識が高いと考えられるので、それぞれの方法で実現されているかとは思うのだが、それは一握りの方々だと認識する必要があると思っている。自分ができているからといって、他人が同じようにできるとは限らないということは忘れてはならない。