セキュリティ専門家が語る、パスワードについて知っておくべき 3 つのこと

パスワードは私たちの生活の中で奇妙な位置を占めています。これらは、IT システムに侵入してアクセスする者からデータや情報を安全に保つという祝福でもあり、管理が難しく、覚えにくいことが多いという点で呪いでもあります。サイバーセキュリティの専門家 ジェイク・ムーア ヨーロッパのサイバーセキュリティ企業である ESET は、パスワードとの関係を再考し、できればハッカーを寄せ付けないようにするための 3 つのヒントを紹介します。

1. たとえ直観に反していると感じても、パスワード マネージャーを使用する

私はパスワード マネージャーの大ファンですが、パスワード マネージャーはあまり活用されていないと思います。に応じて あなたは世界のどこにいるのか、 そして 誰がその研究をしているのか、パスワード マネージャーを使用している人はわずか 3 分の 1 程度です。私にとって、これは犯罪的に低い数字のように思えます。彼らはゲームチェンジャーです。これにより、アカウント用に長いパスワードを作成し、安全に保存できるようになります。彼らはパスワードを生成するのが非常に上手なので、あなたがパスワードを考える必要はありません。

これが重要なのは、人々が自分自身のパスワードを考えるように求められると、自分が知っているものや言葉に頼る傾向があることを私たちが知っているからです。これらの情報はすべて、ハッカーや悪意のある人物があなたに関する情報を持っている可能性があり、あなたを脆弱にする可能性があります。また、別の大きなリスクも無効化します。 アカウント間でパスワードを再利用する人。パスワードが他の人 (たとえ 1 人であっても) に使用され、その人のアカウントが侵害された場合、アカウントへのアクセスの調査やテストに使用される脆弱なパスワードのテーブルにそのパスワードが記録される可能性があります。

なぜ人々はパスワード マネージャーをもっと使わないのだろうかと時々疑問に思うことがあります。もしかしたら、彼らはパスワード マネージャーの仕組みを誤解しており、1 つのパスワードでロックを解除できるオンラインの場所にパスワードを保存するのは安全ではないと考えているのかもしれません。しかし、そうではありません。パスワードが保存される保管庫は、サーバー上にある単純なパスワードのリストではありません。データは、マスター パスワードから派生した強力なキーを使用してデバイス上で暗号化され、オンラインに保存されているのはスクランブルされた暗号文であり、そのキーがなければパスワード マネージャー プロバイダーですら読み取ることができません。

2. 多要素認証は絶対必須

たとえ世界最強のパスワードであっても、各国のサイバーセキュリティ機関は次の組み合わせを推奨しています。 14 ～ 16 個の異なる文字 ドライブバイ攻撃を思いとどまらせるには十分ですが、それでもハッカーの犠牲になる可能性はあります。多要素認証 (MFA) は、ハッカーが行うログインがユーザーであることを確認するための摩擦層を追加します。

これは、電話へのコードなどの追加のセキュリティ層です。 SMS テキスト メッセージ経由で行うこともできますが、他のレベルほど安全ではありません。私にとって、認証アプリは MFA の素晴らしい次のレベルですが、人々が認証アプリの使用を強制されないのは残念です。たとえば、Instagram について考えてみると、フォロワーが 10,000 人に達したときにのみ、MFA を使用する必要があることが通知されます。それはあたかも彼らが「フォロワー 10,000 人で強制すれば、彼らは 10,000 人のフォロワーを失いたくないからそうするだろう」と考えているかのようです。しかし、フォロワーがゼロのときにサインアップ時にそれを強制すると、彼らはそれに行き詰まってアカウントを開設できなくなる可能性があります。」私にとってそれは不合理です。

セキュリティよりも人々の使いやすさを優先すべきではありません。私たちがそれを施行するまでは、ソーシャル メディア アカウントやアカウントが侵害されるのではないかと必死に心配する人々が依然として現れるでしょう。したがって、MFA が提供されている場合はどこでも MFA を有効にします。

3. できる限りパスワードを完全に使用しないようにする

パスワードは完璧とは程遠いですが、便利なことに、より現代的で安全な代替手段が急速に採用されています。私たちはパスワードのない社会に向かって進んでおり、それは正しい方向への動きです。

この代替手段はパスキーです。パスキーの利点は、方程式から多くの人的エラーを取り除くことです。パスワードを入力する代わりに、デバイスまたは携帯電話に保存されている安全なキー (多くの場合は指紋) を使用してサインインします。舞台裏では、 暗号キーが大変な仕事をしてくれるですが、ユーザーにはそれがわかりません。シンプルなままです。そのシンプルさこそが、これほど大きな変革をもたらす理由です。古いパスワードを再利用したり、見慣れたパスワードの末尾に予測可能な数字を追加したりする誘惑を取り除きます。

ある意味、簡単すぎます。人々と話すと、パスキーが単純すぎるため、パスキーを疑う人がいます。彼らにとってそれが簡単だと感じれば、犯罪者にとってもそれは簡単なはずだと彼らは思います。しかし、それは仕組みではありません。舞台裏のテクノロジーが必要以上に懸命に働いているのです。

パスキーはまだどこでも利用できるわけではなく、特にデバイスを紛失した場合には依然として問題があります。しかし全体として、パスキーはセキュリティにおける最も古く最も脆弱なリンクの 1 つであるパスワードそのものを取り除くため、大きな進歩となります。

言われたとおりに クリス・ストケル・ウォーカー