パスワードの定期的な変更はあまり意味がない。それよりも多要素認証(二段階認証)が重要

認証機能付きのシステムやサービスを使っていると、「お使いのアカウントのパスワード有効期限は〇〇です。変更してください」といった警告が出ることがよくあります。

Windowsはじめ、認証にパスワードを利用するシステムの場合、「定期的にパスワードの変更を促す」というセキュリティポリシーが適用されることがあるためです。

個人的に「このセキュリティポリシーって意味があるのか?」とずっと思っていたのですが、ついにマイクロソフトの公式見解として、このポリシーを推奨事項から外すこととなったようです。

何故パスワードの定期的な変更が不要なのか?

そもそもパスワードの変更は、

  • 不正な第三者にIDとパスワードを盗まれた場合

に有効な事後的な対応策であります。変更することによって、盗んだ第三者の不正なアクセスをブロックすることが出来るからです。

しかし、このことの裏を返せば、「パスワードが盗まれなければ変更する必要がない」ということになります。言われてみれば当たり前ですよね。カギが盗まれなければ、シリンダーを交換する必要がないのと同じことです。

そして、万が一盗まれたことが発覚した場合は、パスワードポリシーで定められた期限を待つことなく、ノータイムで変更しなければなりません。

つまり、パスワードを定期的に変更することは、不正なアクセスを防ぐ上では、あまり意味がないということになります。

しかも、パスワードの定期的な変更は負担になります。

よくあるパターンですが、新たなパスワードを設定しようとして、単に数字部分をインクリメントするだけだったりするのではパスワード変更の効果があまり得られないでしょう。

重要なのは不正アクセスをいち早く検知すること

パスワードの定期的な変更よりも重要なのは、不正アクセスやパスワードの漏洩をいち早く検知することです。不正アクセスが検知出来れば、パスワード変更などの事後対策を素早くすることが可能です。

例えば、このサイトではWordpressを利用していますが、SiteGuardというセキュリティ対策のプラグインも使っています。

SiteGuardの機能の一つに、ログインアラートというものがあります。これは、サイトの管理画面にログインがあった場合、どのIPアドレスから、いつアクセスがあったかを事前に登録したメールアドレスに通知してくれるものになります。

身に覚えのないタイミングで、見覚えのないIPアドレスからログインがあったという通知が来たら、それこそ不正アクセスと見做せますので、直ぐに対応することになります。不正アクセス者と時間との勝負になります。

パスワードは複雑である方が良いのは言うまでもない

パスワードの定期的な変更があまり意味がないことと書きましたが、簡単なパスワードを使うことはまた別の問題です。

パスワードは可能な限り複雑な方がよいです。

文字数が多く、英数記号が混在しているものが望ましいというのは、従来のポリシーと変わることはありません。

簡単なパスワードを設定してしまうと、総当たり(ブルートフォース)攻撃で不正アクセスをされる可能性が飛躍的に高まります。

総当たりで不正アクセス出来てしまうというのが、パスワード認証の構造的な脆弱性なのかもしれません。

バイオメトリクスは有効か?

脆弱すぎるパスワードに代わる認証の仕組みとして、バイオメトリクス認証もよく挙げられます。

バイオメトリクス認証とは、生体認証のことで、身近なものとしては、スマートフォンの指紋認証や顔認証があります。他にも、眼球の「光彩」や、手の平や指先の「静脈」などが用いられることもあります。

一見強固ではありますが、偽造されるリスク、誤認証のリスク、誤認証した場合でもマスターの変更が不可能であることなどの問題もはらんでいるため、今のところ、パスワード認証より普及していません。パスワードに比べ、ハードウェアの面で実装コストも高くなりがちです。

パスワード認証に代わるものとしての現実解|多要素認証

では、どうすれば良いのでしょう。

現実解としては、多要素認証が挙げられます。

多要素認証とは、複数の認証機能を組み合わせて使う仕組みであり、よくある実装としては、ワンタイムパスワードなどがあります。

ネット銀行などでは、認証が必要な場合に、事前に登録されたメールアドレスに一時的に利用できるパスワードが送信され、それを用いて追加認証する、というやり方を採用しているところも多いです。

他にも、スマホアプリの「Google Authenticator」や「Microsoft Authenticator」を使って、一時的に利用できるトークンを随時発行し、追加認証を行うというパターンもあります。

多要素認証を使うと、パスワードが盗まれただけではアクセスが出来ませんので比較的安全になりますが、スマホなどのトークン受信用のハードウェアも盗まれてしまった場合はどうしようもありません。そういうことを言い出すとキリがないので、多要素認証(二要素認証)あたりが利便性とセキュリティのバランスの落としどころと言えるでしょう。

まとめ

パスワードの定期的な変更の効果は、盗まれることが前提となっているため、盗まれなければわざわざ定期的に変更しなくてもよいでしょう。単純な話、面倒ですし、コスト(覚えるコスト、忘れないコスト)が掛かります。

私は今まで家の鍵のシリンダーを定期的に交換している人を見かけたことはありませんが、それと同じことだと言えます。

とはいえ、IDとパスワードのみの認証は非常に脆弱です。バイオメトリクス認証などもありますが、課題も多いので、現時点での現実的な落としどころは多要素認証(二要素認証)であると言えます。

Googleはじめ、気の利いたWEBサービスであれば大体二要素認証に対応しています。

個人利用ならまだしも、組織でクラウドサービスなどを利用するのであれば、多要素認証への対応は必須のチェックポイントにしなければならないでしょう。

ITと経営に関するお悩みはありませんか?

ITに関連する経営課題についてどんな内容でもアドバイス可能です。
お一人で悩まれずに、些細なことだと思われることであっても、お気軽にご相談ください。
もちろん、お問い合わせメールへは無料で対応いたします。