サイバーセキュリティの助言は長年変わっていない。オンラインで安全を守るため、より強固なパスワードを作ることだ。それなのに、なぜ「qwerty」のようなパスワードが今もこれほど多いのだろうか。
サイバーセキュリティの教授は、より適切な「サイバー衛生」を促し、徹底させる責任をウェブサイトやサービスに負わせるべきだと述べる。
ウェブサイトには少なくとも、よく使われる選択肢を「ブラックリスト」に載せ、不適切なパスワードを除外する仕組みを設けるべきだ。
毎年、「123456」や「qwerty」、さらには「password」のようなパスワードが、最も人気のある選択肢として挙げられており、2021年も例外ではなかった。
こうした報告にはたいてい、オンラインで安全を守るためにより強固なパスワードを作るよう、利用者への同じ助言が添えられている。確かにその通りかもしれないが、このメッセージを何年も広めてきたにもかかわらず、ほとんど、あるいはまったく効果がなかったことを認識すべき時でもある。
状況を改善するには、人々を責めるのをやめ、より適切な「サイバー衛生」を促し、徹底させる責任をウェブサイトやサービスに負わせるべきだと私は考える。
もちろん、利用者を責めるのは簡単だ。結局、不適切なパスワードを選んでいるのは利用者自身だからだ。しかし同時に、人々がこうした選択をよくすることは今や広く知られている。そのため、弱いパスワードを防ぐための指針や制限がなければ、同じ習慣を続ける可能性が高いと考えるのは妥当だ。
それにもかかわらず、適切なパスワードとはどのようなものか教えられず、安易な選択を防がれることもない利用者が、世代を超えて生まれている。最悪のパスワードを何の注意もなく受け入れるウェブサイトの例を見つけるのは難しくない。同様に、利用者にパスワードの作成を求めながら、その方法について何の案内もしないサイトも簡単に見つかる。あるいは、利用者が選んだパスワードは弱いと知らせながら、それでも使用を認めるサイトもある。
サービス提供者にできる改善
「123456」や「qwerty」、「password」のようなパスワードを受け入れるウェブサイトやサービスの運営を担っているなら、システムを見直す時だ。利用者が不適切な選択をしても通用するようにしておけば、そうした選択が許容されるものだと考え、悪い習慣を続けてしまう。
反対に、より強固なプロトコルを導入すれば、問題の根本に対処できる。ウェブサイトには、よく使われる選択肢を「ブラックリスト」に載せ、不適切なパスワードを除外する仕組みを設けるべきだ。
サイバーセキュリティに関して、世界経済フォーラムは何をしているのか
サイバーセキュリティセンターは、進化するサイバーリスクとそのシステム全体への影響を理解するためにリーダーたちが集う、信頼できるプラットフォームを提供している。相互接続がますます進むデジタル世界で、理解と信頼を築くことに重点を置いている。
分野を越えた協力と知見の共有を可能にすることで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応を要する課題に取り組んでいる。
パスワードを作成する際に利用者へ案内を提供するのは有益だが、権威ある組織である英国国家サイバーセキュリティセンターや米国国立標準技術研究所が、今では強制すべきでないとしている要件をサイトが押しつけるのはやめるべきだ。例えば、大文字と小文字、数字、句読点などを含めるといった、パスワードの複雑さを求める要件には反対している。
両組織によれば、複雑さよりもパスワードを長くすることのほうが重要だ。長いパスワードは総当たり攻撃による解読（攻撃者が一致するものを見つけるため、文字、数字、記号のあらゆる組み合わせを試す手法）に対する耐性が高く、複雑さを抑えたパスワードのほうが覚えやすいからだ。
それでも多くのサイトは複雑さを要求し、長さに上限を設け続けている。その結果、ブラウザーなどのツールで自動生成できる、十分妥当なパスワードがしばしば拒否されている。
なぜこれが重要なのかと疑問に思うかもしれない。弱いパスワードを選んで自ら危険にさらされたい人がいるなら、なぜそれがサービス提供者の問題になるのだろうか。一つの考え方として、サービスが利用者の個人データを保護する責任を負っているなら（提供者はGDPRに基づきその責任を負う）、利用者が弱いパスワードを選んで自らを危険にさらすことを許すのは、あまり理にかなっていない。
また、場合によっては、ある利用者の弱いパスワードが攻撃者にシステムへの侵入の足がかりを与え、そこから他の弱点を悪用してアクセス範囲を広げるおそれがあることにも留意すべきだ。したがって、こうした機会を最小限に抑え、その過程で他の人々のデータを守ることは、サービス提供者の利益にもかなうと言える。
パスワードはなくならない
現在、パスワードレス認証への移行が見られるが、この名称自体が、パスワード方式の優位性を強調している。パスワードの終焉は予測されていたが、それから15年以上たった今も使われ続けている。今後もしばらくは使われると考えてよいだろう。
つまり、基本を正しく整えるために、利用者と提供者が行動して集団的な責任を果たすか、それとも肩をすくめて利用者の行動を批判する集団的な努力を続けるか、私たちには選択肢がある。
パスワード方式のシステム、サイト、サービスを提供・運営する人に向けた行動の呼びかけは明確だろう。自分のサイトで何が許可されているかを確認し、改善の余地がないか検討してほしい。弱いパスワードを通してしまうなら、その設定を変更するか、少なくとも利用者が弱いパスワードを選ばないよう促す対策を講じよう。
利用者としてこの記事を読み、より強固なパスワードの作り方について有益な助言を探しているなら、英国国家サイバーセキュリティセンターが役立つヒントを提供している。例えば、無作為に選んだ3つの単語を組み合わせれば、長くても覚えやすいパスワードを作れる。また、複数のサイトでパスワードを覚えておく負担をさらに減らすため、ブラウザーにパスワードを安全に保存する方法もある。サービス提供者の対策が不十分でも、自分を守るためにできることはある。
