パスワードを定期的に変えるのは意味が無い?

ウェブサイトの情報セキュリティ対策として、ログインパスワードを定期的に変更することを求められることがあります。しかし、最近は定期的にパスワードを変更することは情報セキュリティ対策上無意味であるとの意見が散見されるだけでなく、むしろ逆効果という意見さえ見受けられます。実際、米国連邦取引委員会(FTC)や米国立標準技術研究所も「パスワードに有効期限を設けても侵入防止には役立たない」という趣旨の発言を行っています。

パスワードを定期的に変更するメリットとして、パスワードが漏れた場合でも侵入できる期間を制限できるという点が挙げられます。しかし、定期的にパスワードを変更しなければならないと、単純なパスワードにしたり、パスワードをどこかに記録するようになるため、かえってセキュリティが低下する恐れがあります。たとえば、毎月パスワードを変更しなければならない場合、1月は「XXXXXX01」、2月は「XXXXXX02」のようなパスワードにすると攻撃者に推測されやすくなります。

また、侵入できる期間を制限できるという点についても疑問が残ります。毎月パスワードを変更しなければいけないとしても、侵入者には最大1か月の期間があります。1か月もの猶予があれば、重要なデータをすべて盗み出したり、削除したりなど、悪さをするには充分過ぎる期間です。

パスワードの作り方

パスワードの定期的な変更に意味が無いとしても、現実的にはそれを求めるウェブサイトが多いというのも事実です。そこで、パスワードの作り方をひとつご紹介します。

まず次の3つの要素を用意します。

  • 無意味な英大文字、英小文字、数字、記号の組み合わせ(例:L@g8)
  • 推測しやすい定期的な変更要素(例:毎月変更するのであれば01、02、…12)
  • 推測しやすいウェブサイト毎の文字列(例:Twitter)

次に、上記の要素のうち最初の2つを分割して、最後の要素をサンドウィッチ式に挟んでパスワードを作成します。

1月: L@0Twitter1g8
2月: L@0Twitter2g8

12月: L@1Twitter2g8

この方式であれば、覚えておかなければいけないのは最初の要素の4文字だけです。あとは推測しやすいものだけで構成できます。

推測しやすい定期的な変更要素は、4半期ごとに変えるのであれば、1Q、2Q、3Q、4Q、半年ごとに変えるのであれば1H、2H、毎年変えるのであれば西暦下2桁などがよいでしょう。

推測しやすいウェブサイト毎の文字列はサイト名でもドメイン名(www.example.comであればexample)でも構いません。

コメント