良いパスワードを作ろうとすると、まず分かるのは自分の記憶力がかなり悪いということだ。次に分かるかもしれないのは、ランダムに考えることが本当に苦手だということだ。
真のランダム性は予測が困難だが、人間はそうではない。「12345678」や「password」のようなパスワードを使う何百万人もの人々の一人ではないとしても、素人にありがちな誤りを犯しているかもしれない。例えば、よくあるフレーズをパスワードにしておきながら、「i」を「1」に、「a」を「@」に置き換えるといったことだ。あるいは、よくある単語やフレーズを使い、文字や数字をパスワード全体にランダムに散りばめるのではなく末尾に付け加えることもそうだ。さらに、サイト間で同じパスワードを使い回したり、十分な頻度で変更しなかったりすることもある。
要するに、人間が実際にパスワードを覚えられるようにする手法は、基本的にすべてそうなるということだ。
そうはいっても、とあなたは言うかもしれないが、いったいどうすればこれを回避できるのだろうか。合理的に安全なパスワードは、覚えることも不可能になる。そして、覚えられるパスワードは、おそらくひどいものになるだろう。つまり、それがパスワードの法則というものだろう？
ワシントン・ポスト紙のアレクサンドラ・ペトリ記者は 次のように書いている。「完全に安全で、完璧に覚えやすいパスワードは、まさに純粋なものであり、ユニコーンよりも稀少だ……。つまり、それを見つけた者は誰もおらず、そもそも存在するのかどうかさえ疑う者もいる。」
しかし、南カリフォルニア大学の二人の研究者が、ついに完璧な解決策を見いだしたのかもしれない。南カリフォルニア大学のマルジャン・ガズヴィニネジャドとケビン・ナイトは、 論文を発表しており 、解読されにくく、かつ比較的覚えやすいパスワードを作るための新しい解決策として、ランダムに生成された詩を提案している。
ガズヴィニネジャドとナイトの研究に着想を与えたのは、実はXkcdのランドール・マンローが描いた漫画だった。その漫画は、「correct horse battery staple」のような、ランダムな四つの単語からなるパスワードが、多くの人が安全だと考えるランダムな文字・数字・記号の寄せ集めよりもはるかに安全で、人にとって覚えやすいことを示していた。
マンローの指摘はこうだ。たとえ「Troubadour」のように比較的珍しい単語を選び、一部の文字を別の記号に置き換えたとしても、この組み合わせはコンピューターなら数秒、数分、あるいは数時間で推測できてしまうかもしれない。一方、まったくランダムな四つの単語の組み合わせは、ハッカーにとって解読が難しく、人にとっては覚えやすい。馬が電池の芯を正しく言い当てるという奇妙な小話を作れば、それは同僚の配偶者の名前や結婚記念日と違い、いつまでも記憶に残るだろう。（この方法の詳細を知りたい場合は、 こちらのReddit スレッドをご覧ください。）
その秘訣は、四つのランダムな単語が、実は一つの非常に大きなランダムな数字に基づいて生成される点にある。その乱数は分割され、それぞれの断片が辞書の一つの単語に対応する。基本的には暗号の一種だ。ナイトによれば、乱数全体を推測するには、コンピューターは正解に行き着くまでに、十億の十億倍の十億倍もの可能性を試す必要があるかもしれないという。
しかし、マンローがこの大きな数字を使って四つのランダムな単語を選ぶことを提案したのに対し、ガズヴィニネジャドとナイトは、それを使って短い詩を作るというアイデアを思いついた。
その 論文で、ガズヴィニネジャドとナイトは、ランダムなパスワードを生成するいくつかの方法を検討している。四つのランダムな単語を使うXkcd方式や、ランダムな文を生成する方法などだ。しかし、群を抜いて最も安全で覚えやすい方法は、ランダムな単語からなる短い韻を踏んだ詩を作ることだと結論づけている。
研究者が指摘するように、人類は何千年もの間、情報を記憶する手段として詩を用いてきた。1万2000行の『オデュッセイア』や、1万7000行の『カンタベリー物語』のような長編叙事詩が韻律や韻を用いて書かれたのは、偶然ではない。今日では、『カンタベリー物語』を暗唱できる人は多くないが、それでも人々は、歌うような調子の韻文を、記憶にしっかりと刻み込んでいる。例えば「Thirty days hath September」や、 天気を知るための韻歌 （天気アプリが登場する以前に人々がかつて覚えていたもの）。
ガズヴィニネジャドとナイトは、327,868語の辞書に含まれるすべての単語に固有のコードを割り当てることで、詩を作成している。次に、コンピュータープログラムを使って非常に長いランダムな数字を生成し、その数字を断片に分割したうえで、その断片を二つの短いフレーズに変換する。使用するプログラムは、二行の末尾が韻を踏む単語になり、フレーズ全体が弱強四歩格となるよう保証する。例えば次のような形だ：
Receiver Mathew Halloween
deliver cousin magazine
これらのパスワードは少し奇妙に見えるかもしれないが、実際には非常に、非常に安全である。現在の速度では、ナイトは、これらのパスワードを解読するには 約500万年かかると見積もっている。 その頃には、私たちはおそらくもうFacebookを使っていないだろう。
これらを読みすぎると、少し気が変になってくるかもしれない。しかし、中には声に出して言うのがとても楽しいものもある：
The reigning Hagen journeyman
believers mini minivan
And teaches scripture bungalow
or celebrate or Idaho
ほかにも奇妙で想像をかき立てるものがあり、記憶の道具として作り上げられるのを待つ奇抜な物語をほのめかしている：
And British fiction engineer
Travolta captured bombardier
Australia juggernaut employed
the Daniel Lincoln asteroid
Enrique Hasbro Japanese
revealed aggressive amputees
Competing holy Hemingway
complies American ballet
A peanut never classified
expected branches citywide
The latest Union Rodeo
amounts of aiding dynamo
ガズヴィニネジャドとナイトは、こうした短い詩のためのオンラインジェネレーターを開発しており、 こちらで試すことができる。注意を促しているのは、このサイトがデモ目的に過ぎず、ハッカーがこれらをすべてダウンロードして試す可能性があるため、パスワードとして使用しないようにということだ。
自分だけの小さな詩のパスワードが欲しい場合は、 ここにメールアドレスを入力すると、同プログラムが安全なパスワードを送信し、そのパスワードはその後サーバーから削除される。
当然ながら、保有している すべての パスワードごとに短い詩を覚えるのは難しいかもしれない。しかし研究者らは、最も重要なアカウントには、こうした詩のパスワードのうち一つか二つを使うか、ほかのすべての情報を安全に保管するパスワードマネージャー用に一つを使うことを勧めている。多くのサイトは、パスワードに特殊文字や数字を加えるよう求めてくるが、それほど難しくないはずだ。句読点を加えたり、スペースを特殊文字に置き換えてもよい。
最大の欠点は、近年多くのサイトがパスワードに使える文字数を制限していることだ。そのため、これらの詩は多くのアカウントには長すぎる可能性が高い。しかし、その状況はいずれ近いうちに変わるかもしれない。短いパスワードははるかに安全性が低いため、文字数制限の撤廃を検討するサイトが増えている。
本記事は、 ワシントン・ポストとの協力により掲載されたものである。掲載は、世界経済フォーラムが見解を支持することを意味しない。
アジェンダの最新記事を追うには、 週刊ニュースレターに登録する。
執筆者：アナ・スワンソンはワシントン・ポストのライターである。
画像：ベルリンで撮影されたイラスト写真。コンピュータースクリーンの前に拡大鏡をかざしている様子。REUTERS/Pawel Kopczynski。
