増え続けるパスワードはどのように変更管理していくべきか Gmailでのパスワード運用方法もご紹介

SPONSORED LINK

パスワードの管理・変更。
牧歌的な頃のインターネットでは今のようにパスワードを求められることは少なかったが、今ではどこもかしこもサービスを利用しようと思うと、とりあえず会員登録を求められ、IDが発行されパスワードを決めなければならない。
サイトサービスの増加でパスワードを管理する数も増え、個人的にはもはや記憶出来る数をとっくに超えている。
*1
米国の研究機関NISTの提言では、従来パスワード管理で求められていた定期変更をすべきではないというこれまでの常識を覆す内容になっている。

「パスワードの定期変更はすべきでない」 米研究機関がセキュリティ対策関連の文書で明言 – ねとらぼ

焦点となった文言は、「5.1.1.2. Memorized Secret Verifiers」に記載。「ユーザーが攻撃を受けたとの証拠の下に変更を要求した場合を除き、認証側は定期的にパスワードの変更を求めるべきではない」と述べられています。パスワードの定期変更を促すWebサービスは多いですが、ユーザーが前のパスワードに数字を加えるなど、予測しやすい変更を行ってしまいがちなのも事実。そういった観点からの記述と思われます。

引用元:「パスワードの定期変更はすべきでない」 米研究機関がセキュリティ対策関連の文書で明言 – ねとらぼ

その理由はパスワード変更をするたびに予測し易い変更になりセキュリティ的に強度が下がるといった理由らしい。
それは分からなくもない。
変更のたびに末尾の1を2に、アルファベットのAをBに、後は連番で変えていく・・。面倒くささと変えた後の連想のし易さから、安易な連番変更になり易い。

企業内のパスワード変更

筆者は多くの企業に出入りしているため、パスワード変更を全く行わない企業、変更はあるが稀にしか行わない企業、3ヶ月毎等頻繁に行う企業と色々な企業を知っている。

実は企業内でも、定期的にPCのパスワードを変更を求められることが多くてこれをやってしまう。
PCのログインパスワード、メールのパスワード、ドメインのパスワード、これらを3ヶ月とか企業ポリシーによって変更を求められる。
そして最初は末尾を1にしておき次の変更タイミングで2に変える。3ヶ月後に変更タイミングで3に変える。
後は延々と連番で変える。
こうすれば今まで覚えていたものに連番になるので自分が覚える分には負担が少ない。

本来は良くない管理方法だが、セキュリティポリシーの抜け道というか、
「前回お前が設定したパスワードは1だから今回は2にするのはNG」
「今回の変更が1箇所というのはポリシー違反だから少なくとも3箇所は変えろ」
といったルールにしている所は今の所ないので、ついポリシーさえ通ればOKの前回と同じ+連番変更パターンにしてしまう。

また、頻繁にパスワード変更を行う企業ではPC、ドメイン、メールの全てを変えるタイミングが同時に来て、作業の繁忙期だと変更をミスしてドメインに入れないのでサーバに入れなくなりました!といったことも経験がある。

ローカルのハードディスクでスタティックな管理方法を続けるも面倒に

2012年くらいまでは、ACCESSのMDBにパスワード管理用のテーブルを作ってそこにパスワードを入れていた。
ACCESSファイルはハードディスクに入れて、参照するときや追加変更するときだけ、ハードディスクをUSBでPCにつなげる。面倒ではあるが、これならスタティックな管理でどこにも漏れる心配はない。

しかし、ACCESSのソフトのインストールが必須になるので、この方法は止めた。
Excelでも構わないが、毎回見るためだけにハードディスクを付け直すというのが非常に面倒だからだ。ハードディスクもずっと維持し続けなければならない。
ディスクが壊れる危険もあるのでバックアップも別のディスクに取らないといけない。勿論、PCのディスク以外の外部ディスクだ。

こうなると二つのディスクに二つのファイルを運用し続けなければいけない。
ファイルに変更が入ると別のディスクのファイルに同期しないといけない。
面倒な事は絶対に続かないので別の方法を考えた。

Gmailで行っているパスワード運用方法の紹介

Gmailが運用されてメールにタグが付与出来るので、ライフハックなんかでは、Gmail仕事術なんかも一時期持て囃された。Gmailの受信ボックスをいわゆるInboxとして扱い、そこに雑多な内容のものを入れておき、タグを付けて整理する。

パスワードの運用にこれが使えないかと思い、Gmailパスワード運用術をやり始めた。
実際にどうやっているかというと、Gmailでメールを作成し、メールの文中にサービス名やID、パスワードを記して自分宛に送る。件名は「サービス名 password」のようなものにする。*2受信したメールには「パスワード」や「password」のタグを付与してアーカイブする。
または、「password」という名前のラベルを作ってそこに一括して入れてもいいだろう。
これでネットさえ繋がればどのPCからでも見れるし、スマホからでも見れる。
今見た所このタグが付いているメールが91件あった。つまり91件分のサービスサイトなりポータルサイトのパスワードをGmailで管理していることになる。
Gmailのメールを見るにはGmailにログインしなければいけないが、これにもIDとパスワードがいる。GmailのログインパスワードをGmailで管理するのはナンセンスなので、これは記憶している。
その一つさえ覚えておけばGmailの中でパスワードが管理されているという仕組みだ。

勿論セキュリティ的な心配はあるだろう。インターネットの中で管理するよりローカルのディスクなどのスタティックな環境の方が漏れるリスクが低いのは言うまでもない。
しかし、クラウド等でインターネットの向こう側を使うことが当たり前になった今、ネットはリスクが高いからというのも言っていられない。
銀行の取引ですらスマホアプリで行っている。
Gmailが技術的にどの程度セキュリティ強度が高いかはよく分からないが、例えば新しいPCやスマホでGoogleアカウントにログインした場合、accounts.google.comからこのようなメールが来て即座に警告される。

新しいPCでの初期ログイン後の警告メール
新しいスマホでの初期ログイン後の警告メール

ここまで徹底しているGoogleから簡単にメールのデータが漏れるとは思えない。
これまでGoogleやGmailからデータが流出したというのも聞いたことがない。

パスワード管理デバイス

最近、ギズモードジャパンでパスワード管理専用端末の記事があったので気になったので記事を張っておく。

すべてのパスワードを手元で管理。キングジムの「ミルパス」は第3の選択肢|ギズモード・ジャパン

キングジムのミルパスPW20という端末で200件のIDとパスワードを管理。ミルパス本体のパスワードさえ覚えておけば後200件は端末から引き出せる。
これもネットを介さないスタティックな管理といえる。
マスターパスワード一つさえ覚えておけばいい点も筆者のGmail運用方法と同じだ。
値段は6000円。パスワードを管理出来て流出から防ぐスタティックな端末の値段としては妥当だろう。
200と言う件数も多くはないが、個人が利用するサイトの数を考えると妥当とは言えるだろう。

キングジム パスワードマネージャー ミルパス PW20
キングジム
売り上げランキング: 9,453

他にも考えられる管理はスマホアプリがある。というよりこちらの方がメジャーかもしれない。スマホは使用自体本人しか分からないアクセスコードや指紋認証機能の「Touch ID」があり、スマホへのアクセスの時点で一定のセキュリティ強度がある。
スマホは電話やメール、LINE等のSNSで普段使いのツールであり肌身離さず持ち歩くもの。出すのが面倒くさいという運用ではない。

日々使いある程度のセキュリティ強度もあるということから、スマホアプリでパスワードを運用するというのも自然な考えだ。
スマホアプリでのパスワード管理ツールは、自分は使ったことはないが、無料・有料合わせて様々なものがあるらしい。
例えば、無料だと「パスワード管理マネージャー」、有料だと「1Password」等だ。

何が正解なのかはその人次第か

幾つかのパスワード管理ツールを見てきたが、結局面倒くささとセキュリティ強度のトレードオフになるだろう。
ネットを介すと便利だが強度は低い。但し紛失する心配はない。
スマホだと本体の強度があるのである程度安心だが紛失の危険が常にある。
ローカルでスタティックなデバイスだと持ち運びが少々面倒だが強度は高い。こちらも紛失の危険はある。

結局、今の所絶対の方法というのはないように感じる。
何が正解かは試行錯誤してみて自分で決めるしかない。
そのためにも情報の感度は常に高く持ちたい。

*1:自分の場合、オンラインゲームをプレイすることが多かったのだが、プレイするには会員登録が必要で、ゲームクライアントにログインするにはポータルサイトからログイン後、会員画面でゲーム起動をする会社が多くなったことで、管理するIDとパスワードが増えてしまったという背景もあった。(現在はゲームハードがPS4メインなのでそのような事は減った。)

*2:実際には、IDやパスワードそのものを平文でメールには記しておらず、自分にしか分からない暗号の文章にしている。
自分でも暗号が難しいと思ったら、そのヒントもメール文中に記しておく。
ヒントも自分にしか分からない内容にしておく。
こうすることで最悪の事態で流出したとしても、パスワードを平文そのものでは記していないので、ある程度防衛出来るという発想だ。

SPONSORED LINK

この記事をシェアする