パスワードはどうすればいいのか
昨日のマイネット社不正アクセス中間報告書に関する記事を書いた後に、
パスワードは定期的に変えなくていいというニュースが偶然同時に出て、
・・・じゃあどうすればいいのかということを考えさせられました。
上記の不正アクセスは、明らかにパスワードが流出したために発生した事件です。一方でパスワードは変えなくていいとなると、じゃあどのようにすれば、この不正アクセスを防げたのでしょうか。
考察
システム管理者の立場からいろいろ考えてみました。
特権IDについては、このニュースの指摘からは除外する
このニュースは、「インターネット利用時のパスワード」の話に限定しています。FacebookとかYahooとかはてなIDもですね。いろいろなWEBサービスがありすぎて、IDが乱立しています。このパスワードを定期変更するような運用をしているとそのうち覚えきれなくなって、12345678abcdefみたいな、ハッキングしてくださいというような簡単な文字列になりがちという現象から来ているのだと思います。
これはこれでその通りだと思います。ただシステムの特権IDとなると話は変わってくると思います。こちらも定期的に変更しない運用は、かなり危険があると思います。システム構築時と本番運用時では変えたほうがいいと思いますし、システム運用者が変わるタイミングや退職者が出るタイミングで変えないと、前に運用していた人が入れてしまうようなことが起きます。
とりあえず、特権IDについては別、ということを頭に入れたほうがいいと思います。
パスワード認証がそもそも危険
そもそもパスワード認証自体が脆弱であると言われ続けてきました。システム自体を握る特権IDについては、秘密鍵認証や二段階認証など特別な仕組みを設けなければいけないと思います。
VPNアカウントがあって、そこからまたシステムのアカウントがあって、と複数のパスワード認証がかかっていると安心しがちですが、先日の不正アクセスの件はことごとく破られていますので、いくらパスワード認証を複数でかけていても、全部流出しちゃえば意味がないということになります。
そもそも、パスワード認証自体がもう意味をなしてないという前提で物事を考えていくと、世の中の半分以上のシステムは危険な状態であるとも言えると思います。システムのパスワード認証を全て使わなくするのは無理だとしても、１か所でも秘密鍵認証を使うなどの対策が必要なのだと思います。
基本的にはソーシャルログインが安心
こちらは、特権IDを離れて、一般的なWEBサービスのIDの話です。
最近は、FackbookはGoogle+などのSNSのアカウントの認証情報を流用して、WEBサービスにログインできるタイプのものが増えてきました。ソーシャルログインと呼ぶようですね。SNS側で認証を厳重に取り扱い、いろんなサービスの認証をSNSに紐づけるのはスマートな方法だと思います。
何か落とし穴がないか調べてみました。c.azmarche.com
ソーシャルアカウントの連携で共有されるユーザー情報は、個人情報になるものが多く、特に、メールアドレス、名前、住所、会社名、電話番号などは、一つでも知れると、ユーザー本人と実際に連絡が取れる情報です。
このように、第三者となる会員サイトに重要な個人情報が提供されると、その後どのように扱われるのか、もしかして悪用されないかなど、ユーザーにとっては最悪な状況も考えられるのです。
この類似の話が、Facebookのアプリ経由での情報流出のニュースで騒ぎとなったばかりでした。認証を連携したアプリ側に個人情報が流れてしまうという件です。
ここ最近はSNS運営者側でかなり気を付けるようになってきたので、危険性は減ってきたとは思いますし、パスワード認証よりはこちらのほうがそれでも安心かとは思います。変更するしないで悩むよりはSNSアカウントに紐づけたほうが安心かと個人的には思います。あとはそのSNSを信用するかどうかという問題だけです。
まとめ
とりあえずは、IT業界においてこの「パスワードは頻繁に変更しない」という言葉が独り歩きして、システムの特権IDなどにまで話が及ばないでほしいと思います。おそらく特権IDの管理方法が、一般ユーザーのIDにまで同じ理屈で強制されてしまったからこんなことになってしまったんだろうと思います。
特権IDの管理方法については、次世代の何か新しい方法が必要になっていますが、本命がない状態であり、パスワード認証のシステムも依然として多数残っている認識です。パスワード認証からの脱却を前提として、どうしてもパスワード認証じゃないといけない部分についてはやはり定期的な変更が重要じゃないかな‥と思います。また、新規システムについてはパスワード認証は使わない前提で設計をするのが良いと思います。
悪い人がいなくなるのが一番いいんですけどね・・。こればかりは。
