職場や自宅で情報システムにアクセスするには、何らかの認証プロセスが必要です。その理由は明確です。自分のデータへのアクセスを確保し、権限のない人物を排除するためです。
では、なぜ私たちはこうした助言を日常的に無視するのでしょうか。特に、絶えず繰り返される サイバーセキュリティ専門家からの助言 、それも 強力なパスワードの必要性 （頻繁に変更されるもの）について。私たちの実際の行動と望みの間には大きな食い違いがあるようです。それはセキュリティなのか、それとも使いやすさなのか。
今日私たちが遭遇するほとんどの認証は、通常、次の3つの方式のいずれか（または複数）で実装されています：
記憶しているもの（ささやかなパスワードなど）
所持しているもの（スマートカードなど）
本人固有の特徴（指紋など）。
多くのシステムでは、アクセス制御にユーザー名とパスワードの組み合わせを使用しています。これは主に、ほとんどのシステムのインターフェースが何らかのキーボードであったためです。一部のスマートフォンはPINや指紋を使用し、銀行のATMは所持しているもの（カード）と記憶しているもの（PIN）を組み合わせて使用しています。
パスワードの問題点
長くランダムなパスワードを設定することは有益な助言です。オンラインバンキングの口座など、重要な情報へのアクセスを守るための一定の安全性をもたらします。
残念ながら、ランダムな15文字のパスワード（文字はA～Z、a～z、0～9、および ! @ # $ % などの印字可能なその他の記号）を複数覚えなければならない状況に直面すると、ほとんどのユーザーはパスワードで保護される情報の価値を判断し、それに応じて行動します。
一部のアカウントは、情報の不当な漏えいや、アカウントが侵害された場合の所有者への被害が小さいため、比較的弱いパスワードが設定されているかもしれません。一方で、ユーザーはサイバー犯罪者に資金を奪われたくないため、より強いパスワードを設定するアカウントもあるでしょう。これらは情報の知覚された価値についての判断です。
パスワードはどの程度安全ですか？
パスワードを使用せざるを得ない場合、良いパスワードとはどのようなものでしょうか。パスワードはどのくらいの速さで解読されるのでしょうか。
いくつかのウェブサイトが よく使われるパスワードのリストを公開しています。私はパースの科学展示センターとの試験で、1,400万件のパスワードのリストを使用しました。
センターの来館者（大半は高校生）は、安全だと思うパスワードを入力するよう求められ、それがリストと照合されました。リストに載っていない場合（まれなケースです）、そのパスワードはさらなる処理のため高速なコンピューターに送られました。
このコンピューターは、総当たり攻撃によって、ランダムな6文字のパスワードを2秒未満で解読することができました。具体的には、「aaaaaa」、次に「aaaaab」、次に「aaaaac」と照合を試み、6文字のすべての組み合わせを順に試していきました。
高速コンピューターの作業がこれほど少なくて済んだことは驚くべきことでした。多くのユーザーは、確立された文学作品から取られた単語やフレーズは何らかの形で安全だと考えています。しかし、そうではありません（『指輪物語』や『戦争と平和』に由来するものは、何であれ避けてください）。
パスワードが長いほど解読には時間がかかります。ランダムな15文字のパスワードの解読には1週間かかるかもしれません。しかしその場合、議論は情報の時間的価値へと戻ります。サイバー犯罪者が1週間待つ必要があったとしても、あなたのアカウントはそのまま存在しており、あなたは毎週ランダムな15文字のパスワードを変更するつもりですか。
パスワードに追加の安全性を加える一つの方法は、任意の 二段階認証を有効にすることです。この認証では、パスワードの入力後に、携帯電話などの端末へ別のコードが送信されます。 多くのオンラインサービス がすでにこのサービスを提供しています。
別の認証方法が必要です
使いやすさの問題からささやかなパスワードが適さない場合には、代替手段があります。その一例が 人気のpay wave という非接触型決済システムで、対象は 銀行カードと交通系カードであり、少額取引にはパスワードは不要です。
財布やハンドバッグが盗まれた場合、口座がブロックされる前に少額の資金が引き出される恐れがあります。それでも、カードをタッチする方法は 人気を集めつつあり 消費者と小売業者の双方に支持されており、利便性がセキュリティに勝っているのです。
生体認証方式は、人体の何らかの身体的特性に基づくもので、パスワードを記憶したりカードを持ち歩いたりする必要がないため魅力的です。スマートフォンやコンピューターのオペレーティングシステムは すでに指紋スキャナーを使用しており 簡単かつ効果的な認証手段を提供しています。
使用されている他の生体認証デバイスには、 網膜スキャナー、 虹彩スキャナー や 音声認識があります。人気映画で描かれるものとは異なり、目にレーザーを照射されることを好む人はいないため、 音声認識 が今後の有望な方法となるかもしれません。
しかし、生体認証技術には 既知の問題 があります。ただし、それらの問題はどの認証システムにも共通するものです。単一指紋デバイスの現在のエラー率は、最良の場合でも約2%であり、単独で使用するにはまだ十分ではありません。
一部のシステムは、実際の指紋の照合に依存せず、ユーザーの他の行動的特性を照合します。例えば、指紋をスキャンする際の角度と速度は、人ごとに異なり、測定可能で再現性のある特性です。これにより、誰かになりすますために人の指を切断するといった物理的攻撃を防ぐことができます。
ATMの例に戻ると、当面は、低いメンテナンス費用と製造コストのため、カードとPINに縛られています。顧客の観点からは、口座に紐付けられた声紋が確認されれば、ATMに話しかけて現金を求めるほうが簡単になるでしょう。これははるかに使いやすく（かつ安全な）未来です。
最終的には、より堅牢なセキュリティの代替手段が広く受け入れられ（かつ低コストで実装可能になる）まで、パスワードに関する助言を無視し続ける人々は、セキュリティと使いやすさのどちらのバランスを好むのか、そして脆弱なセキュリティにどれほどの代償を払う用意があるのかを真剣に自問しなければなりません。
本記事は、 The Conversationとの協力により公開されたものです。掲載は、世界経済フォーラムによる見解を支持するものではありません。
Agendaの最新情報を入手するには、 週刊ニュースレターにご登録ください。
著者： Mike Johnstone、セキュリティ研究者、ソフトウェア工学上級講師、 Edith Cowan University
画像：ベルリンで撮影されたイラスト。コンピューター画面の前で虫眼鏡が掲げられている。REUTERS/Pawel Kopczynski
