パスワードの使い回しは情報漏えいの大きなリスクです。特に重要なアカウントには強力なパスワードを設定し、「サイト別要素＋コアパスワード」で安全性と覚えやすさを両立しましょう。管理にはパスワードマネージャーの活用も効果的です。
なぜパスワードを強化しなければならないのか
パスワードは、あなたの大切な情報を守るカギです。
たとえば以下のような情報が、パスワード1つで守られています。
- メールアカウント
- クレジットカード情報
- オンラインバンキング
- SNSアカウント
- クラウドに保存した写真やファイル
これらが一度でも破られてしまうと、金銭的な被害やプライバシー漏えいが発生する可能性があります。
伝統的にパスワードにもとめられる要件とは
情報セキュリティの教科書に書かれている十分に強度をもつパスワードの要件には以下のようなものがあります。
- 十分な長さがある（12文字以上が推奨）
文字数が多いほど総当たり攻撃（ブルートフォース）に強くなります。 - 英大文字・英小文字・数字・記号を含む
複数の種類の文字を組み合わせることで、パスワードの予測が難しくなります。 - 辞書にある単語や個人情報を含まない
「password」や「123456」、名前・誕生日などは簡単に破られます。 - 他のサービスと使い回さない
ひとつのサイトで漏れた情報が、他のアカウントに悪用されないようにします。 - 定期的に変更する
万が一パスワードが漏えいしても、早めの更新で被害を最小限に抑えられます。
→最近では、変更は不要という考え方が主流です。漏れたときにすぐ変更すればOKです。
したがって今回はこの記事の対象からははずしますね。
でも、みなさんこの要件守れていますか？
私が使っているアカウントとパスワードの組み合わせを数えてみましたが、約150セットありました。
アカウントとともに12文字以上の複雑なパスワードをどのサービスで使っているか正確に150個も記憶することは私には無理です。
私の実践しているパスワード管理方法
まずは皆さんにイメージしてもらうため、私が実践しているパスワード管理方法を紹介しますね。
- サービス／アカウント／パスワードの組み合わせを全部洗い出します。
- サービスごとに①重要資産に関するものか、②パスワード以外のログイン認証（多要素認証やパスキー）を使用しているかを確認します。
- 私は、「重要資産に関するサービスでかつパスワード認証のみ」の場合に複雑なパスワードの使い回しは行わない方針にしています。
- パスワードの管理にはパスワードマネージャーを利用し、「サイト別要素＋コアパスワード」でパスワードを作っています。つまりパスワードマネージャには「サイト別要素」まで登録してあり、ログインするときはパスワードマネージャーでアカウントおよびパスワードのうち「サイト別要素」までを自動入力したあと、自分で記憶している「コアパスワード」を追加入力しています。
- 「重要資産に関するサービスでかつパスワード認証のみ」以外は基本同じパスワードの使い回しをしています。なぜなら重要資産に関するサービスでなければ不正アクセスされても実害がない。また、パスワード以外のログイン認証（多要素認証やパスキー）がある場合はパスワードが漏洩していても、不正アクセスは防げるからです。
上記はあくまで私の個人的なパスワードの考え方ですが、下記にそれぞれ詳しく説明をしていきますので、自分のパスワード管理の考え方や方法を確立していってくださいね。
絶対にやってはいけないこと：重要資産に関するパスワードの使い回し
パスワード要件の中でも、特に注意したいのが「重要資産に関するパスワードの使い回し」です。
たとえば、こんな使い方はNGです。
- 銀行口座とAmazonに同じパスワード
- メールとSNSが同じパスワード
- 古いパスワードをいろんなサービスで使い続けている
どれか1つのサービスで情報が漏れてしまえば、連鎖的に他のアカウントも乗っ取られるリスクがあります。
重要資産（お金や個人情報に直結するサービス）については、絶対にパスワードを使い回さないようにしましょう。
覚えやすくて安全なパスワードの作り方
毎回まったく違う複雑なパスワードを覚えるのは大変です。
そこでオススメしたいのが、「サイト別要素＋コアパスワード」の組み合わせです。
【例】パスワードの組み合わせ方法
- コアパスワード（核となる共通パスワード）
あなたしか知らない覚えやすいパスワードを作ります。
例：MyDog!5963 - サイト別の要素をつける
サービスごとに、決まった文字列を足します。
例：GMAIL、BANK、SNSなど - 完成例
- Gmail用：GMAILMyDog!963
- ネット銀行用：BANKMyDog!5963
- SNS用：SNSMyDog!5963
この方法なら、完全に同じパスワードを使わずに、ある程度覚えやすさも保つことができます。
パスワードの管理にはツールを使おう
複数のパスワードを安全に管理するには、パスワードマネージャーの利用も検討してみましょう。
おすすめのツール：
- KeePass（無料）
- 1Password（有料）
- Bitwarden（無料でも使えます）
これらのツールを使えば、「サービスごとに違う強いパスワード」を安全に保存し、必要なときに取り出せます。
注意点
- パスワードマネージャーとよく似た機能として「ブラウザに保存」があります。しかしながら、パスワードマネジャーと異なりパスワードを暗号化せずに保存しているものが多いため、パソコンを乗っ取られると、保存されたパスワードが一気に見られることがあります。注意しましょう。
- 通常はパスワードマネージャーだけでも十分比安全です。ただし、パスワードマネージャーにログインするためのマスターパスワードが弱いとすべてのパスワードを一気に盗まれる可能性があります。このような場合でも「サイト別要素＋コアパスワード」であればコアパスワードはあなたの頭の中にしかないので、不正アクセスにの被害を防ぐことができます。
- パスワードマネージャーの弱点はやはり、入力の手間がかかることです。①パスワードマネージャーにログインする（パスワード入力）、②目的のエントリー（サービス／アカウント／パスワードの組み合わせ）を選択する、③コピーペーストなどで入力する、などけっこう手数がかかります。そのため、わたしはまもらなくてもよいサービスでは共通パスワードを使用しています。（自分でリスクを許容できるからやっているのであり、皆さんにおすすめしているわけではありません）
最後に
パスワードはいろいろ考えるときりがありません。
また、本当にこの方法でよいのか不安になることもあると思います。
まずは1つ、重要なアカウントからパスワードを見直してみましょう。
それだけでも、情報セキュリティのレベルは大きく変わります。
以上
コメント