パスワードの管理とデータ復旧

知っておきたいパソコン基礎知識

パスワード管理の重要性と適切な方法

オンラインサービスやSNSなどインターネットサービスを日常的に利用する方は多くいますが、それらのサービスに使用されるIDやパスワードの管理方法については、あまり気にしている方も少なくありません。ネットにつながる端末から手軽にアクセスできるサービスは便利ですが、逆に言えば、IDやパスワードを手に入れるだけで誰でも不正にアクセスできてしまうため、パスワード管理の重要性が増しています。

サービスごとのパスワード

異なるサービスで同じIDとパスワードを使用すると、一つのサービスでパスワードが漏洩した場合、他のサービスでもアカウントが乗っ取られるリスクがあります。ダークウェブに公開されて誰かしらに悪用される事例も出ています。

たとえば、A社のサービスで使用していたIDとパスワードが流出し、B社のサービスでも同じ組み合わせを使用していると、攻撃者に容易にログインされてしまう可能性があります。そのため、利用している各サービスで異なるパスワードを設定することが推奨されます。しかし、その結果、覚えるべきパスワードが増えてしまうため、適切な管理方法が必要になります。

パスワードの管理方法

一部の方は、パスワードをスマートフォンやパソコンのメモ帳に保存する方法を取っていますが、この方法にはリスクがあります。パソコンが盗まれたり、外部から侵入されたりすると、保存していたすべてのパスワードが流出してしまう危険があるため、工夫が必要です。たとえば、パスワードを直接記録するのではなく、「2文字目に特定の文字を加える」といったルールを自分で設定することで、万が一メモが盗まれたとしても、すぐに正しいパスワードが分からないようにすることができます。

ただし、手動でのパスワード管理にはどうしてもミスが生じやすいため、コストはかかりますが、パスワード管理ソフトを導入するのも有効な方法です。Bitwarden、1Password、LastPassやパスワードマネージャーといったソフトは、サービスごとのIDやパスワードを安全に保存し、マスターパスワードだけを覚えておけば、他のパスワードを記憶する必要がなくなります。スマートフォン版では、指紋認証での起動も可能で、利便性が高いです。また、データは暗号化されてサーバーに保存されるため、端末が故障してもパスワードは失われません。

• Bitwarden
• Lastpass
• 1Password
• パスワードマネージャー

弱いパスワードとその攻撃の危険性

パスワードが漏洩していなくても、簡単すぎる「弱いパスワード」を使っている場合、不正アクセスのリスクが高まります。たとえば、「123456」や「password」といった単純なパスワードは非常に危険です。また、「qwerty」や「admin」、「letmein」などもよく使われる危険なパスワードの例です。

ブルートフォース

こういった弱いパスワードは、「ブルートフォース攻撃」と呼ばれる手法で狙われやすいです。ブルートフォース攻撃では、コンピュータを使用してあらゆる文字列の組み合わせを試し、総当たりでパスワードを見つけ出す方法です。

リバースブルートフォース

「リバースブルートフォース攻撃」では、攻撃者がよく使われるパスワードのカタログのようなデータを入手し、それに対応するIDを探し出す方法です。どちらの攻撃方法でも、弱いパスワードは非常に危険です。

強いパスワードの作成

強いパスワードを作成するには、単に文字や記号を組み合わせるだけでなく、できるだけ長いパスワードを使用することが推奨されます。文字数が増えることで、総当たり攻撃にかかる時間が大幅に長くなります。また、最近では「パスフレーズ」と呼ばれる方法も推奨されています。パスフレーズは、単語を組み合わせて長い文章にすることで、覚えやすく、かつ安全なパスワードを生成する方法です。

見破られづらいパスワード

強いパスワードを作成するには、どのような点に注意すればよいのでしょうか？以下では、パスワードの強化方法と、それに代わる「パスフレーズ」をご紹介いたします。

強いパスワードを作る基本

強いパスワードを作るためには、以下の工夫が有効です。

• アルファベットの大小を混ぜる：小文字だけでなく、大文字も組み合わせる。
• 数字を加える：アルファベットだけでなく、数字も含める。
• 記号を活用する：!や?、#、$などの特殊記号を含める。

これらの工夫は有効ですが、最も重要かつ簡単な対策はパスワードの文字数を増やすことです。
文字の種類を増やすよりも、文字数を1文字増やすだけで、総当たり攻撃（ブルートフォース攻撃）に必要な組み合わせ数が大幅に増え、突破にかかる時間が飛躍的に長くなります。

パスワードの進化形「パスフレーズ」

近年、パスワードに代わる「パスフレーズ」の利用が注目されています。パスフレーズとは、単語（word）の集合体である「フレーズ」をパスワードとして使用する考え方です。単語1つではなく、文章のような数十文字の文字列を使います。

例えば：

• パスワード：Xy7!mZ（短く覚えにくい）
• パスフレーズ：MyDogLovesPizza123!（長く覚えやすい）

パスフレーズのメリット

パスフレーズは次のような利点があります。

1. 強度が高い：文字数が長いため、総当たり攻撃を受けても突破されにくい。
2. 覚えやすい：シンプルで馴染みのある単語の組み合わせを使えるため、記憶しやすい。
3. 入力が容易：複雑な記号や大小文字の組み合わせを意識しなくても良い場合が多い。

パスフレーズ利用時の注意点

ただし、以下の点には注意が必要です。

• 文字数制限：サービスやシステムによっては、パスワードに文字数の上限（例：16文字以下）が設定されている場合があります。この場合、パスフレーズを利用できない可能性があります。
• 辞書攻撃への対策：単語をそのまま繋げると辞書攻撃で解析されるリスクがあるため、少し工夫（例：単語の間に数字や記号を挿入）を加えるとより安全です。

現在のトレンド

近年は、パスワードやパスフレーズに加えて、次のようなセキュリティ対策も推奨されています。

• 多要素認証（MFA）：パスワードだけでなく、スマートフォンで受け取る認証コードや生体認証（指紋、顔認証）を併用する。
• パスワード管理ツールの活用：長く複雑なパスフレーズやパスワードを生成・管理できるツールを使用すると、安全性と利便性が向上します。

パスワードの定期変更は必要か？

以前は、パスワードを定期的に変更することが推奨されていましたが、最近の研究では、その効果に疑問が呈されています。むしろ、頻繁にパスワードを変更することで、単純なパスワードを使い回す傾向が強くなることが指摘されています。現在では、長いパスワードを設定し、必要に応じて変更することが推奨されています。

安全なパスワードの設定・管理 | 国民のためのサイバーセキュリティサイト

二要素認証（2FA）の重要性

パスワード管理をさらに強化する方法として、二要素認証（2FA）の導入が効果的です。2FAでは、パスワードに加えて、スマートフォンに送信されるワンタイムパスワードなどを使用するため、パスワードが漏洩した場合でも不正アクセスを防ぐことができます。金融機関や重要なアカウントでは、必ず2FAを設定することが望ましいです。

多要素認証

多要素認証とは、通常のIDとパスワードによる認証に加え、追加の本人確認手段を組み合わせることで、セキュリティを強化する仕組みです。これにより、たとえパスワードが漏洩した場合でも、不正アクセスを防ぐことができます。

多要素認証は以下の3つの要素のうち、複数を組み合わせて本人確認を行います。

1. 知識情報（本人だけが知っている情報）：パスワードやPINコードなど。
2. 所有情報（本人だけが持っているもの）：スマートフォンやセキュリティトークン、乱数表など。
3. 生体情報（本人そのもの）：指紋、顔認証、虹彩認証など。

乱数表

乱数表は、特にオンラインバンキングのログインで広く利用されている認証方法です。通常、5×5のマス目に数字が印刷されたカードが提供され、ログイン時にはその都度サービス側が指定する位置の数字を入力することで本人確認を行います。乱数表は入力する数字が毎回異なるため、「キーロガー」などの入力内容を盗み取るソフトによる攻撃を受けても、全ての情報が漏洩するリスクを低減できます。これにより、通常のパスワードよりも高い安全性を提供します。

三菱東京UFJ銀行、三井住友銀行、みずほ銀行などのメガバンクでは物理的なトークンを発行することでセキュリティを高めることを行っています。

また、近年では物理的な乱数表カードに加え、スマートフォンアプリ化された乱数表も普及しています。これにより、携帯性が向上し、認証手続きがよりスムーズになっています。

ただし、乱数表にも注意すべき点があります。例えば、フィッシングサイトやマルウェアが乱数表の全ての位置の数字を入力させるような不正な要求をする場合があり、このような詐欺行為に対する警戒が必要です。サービスを利用する際は、公式のログイン画面かどうかを慎重に確認し、怪しい要求には応じないよう心がけましょう。

コンピュータウィルスと対策ソフト
https://www.datasmart.co.jp/knowledge/computervirus-softwaresolution/

以下は、多要素認証でよく使われる手段です。

1. ワンタイムパスワード（OTP）
   時間や利用ごとに生成される一回限りの使い捨てパスワード。専用のアプリ（例：Google Authenticator）やSMSを通じて受け取る形式が一般的です。
   あらかじめ用意された番号表から、サービス側が指定する位置の番号を入力して認証する方法です。物理的な乱数表やアプリ化されたものが利用されます。
2. 指紋認証や顔認証
   生体情報を用いた認証で、スマートフォンや専用デバイスで利用されることが多いです。高速かつ簡単に本人確認ができるため、普及が進んでいます。

近年のサイバー攻撃の高度化に伴い、多要素認証の重要性はさらに増しています。以下のような進化や推奨事項も注目されています。

1. ハードウェアセキュリティキーの利用
   USBやNFCで接続するハードウェアセキュリティキー（例：YubiKey）は、高い安全性と利便性を備えています。これにより、フィッシング詐欺やリプレイ攻撃を防ぐことが可能です。
2. パスワードレス認証の普及
   多要素認証を拡張したパスワードレス認証（例：Windows HelloやFIDO2）は、パスワードそのものを廃止し、生体情報やセキュリティキーでの認証を行います。これにより、パスワード漏洩のリスクを根本的に回避できます。
3. モバイルデバイスを活用した認証
   スマートフォンを認証デバイスとして利用する仕組みが広がっています。アプリでのプッシュ通知を承認する形式は、便利で利用者の負担を軽減します。

適切なパスワード管理とセキュリティ対策を実践することで、オンラインの安全性を確保し、個人情報を守ることができます。

データスマートは顔認証や指紋認証などの生体認証などのセキュリティ環境を整えデータ復旧の作業に当たっています。また、安心してメディア（媒体）をお預けいただけるようにISMS（情報セキュリティマネジメントシステム）を取得しています。

• データバックアップ講座
• データ復旧事例（PC）
• データ復旧事例（HDD）
• データ復旧事例（USBメモリ/フラッシュメモリ）