【基本情報の実務】パスワードの説明──使い回しが危ないのは、自分の管理の外で決まるから
本部の総務担当から、パスワード運用の相談が届く。
「団員のログイン用パスワードが、みんな似たような簡単な文字列だったり、いろいろな場所で使い回されていたりします。危険だと聞くのですが、なぜ危ないのか、どう改善すればよいのかを団員に説明できる形でまとめてほしいです。」
基本情報の知識がここで力になるのは、2つの危なさを、混ぜずに説明できたときだ。簡単な文字列と使い回しは、まったく別の仕組みで危ない。まとめて「危険です」と伝えると、どちらの対処も中途半端になる。この記事では、分けて整理する。
まず結論：危なさの仕組みが、別々
| 何が起きるか | 効く対処 | |
|---|---|---|
| 簡単な文字列 | 機械が大量に試して、当てる | 試す回数を増やす（長くする） |
| 使い回し | 他所から漏れた組み合わせが、そのまま試される | 大事なところを別にする |
ここを分けると説明が急に通じやすくなる。
とくに使い回しのほうは、「うちのパスワードは複雑だから大丈夫」という反論に、複雑さでは答えられない。
使い回しの危なさはこちらのパスワードの強さと、関係が無いためである。
だから2つを一緒に説明しない。別の話として、順番に伝える。
簡単な文字列──狙われているのは、個人ではない
説明でいちばん多い反応が「自分のような者を、わざわざ狙う人はいない」である。
この認識は、半分正しい。誰かがその人を選んで、時間をかけて狙っているわけではない。
実際に起きているのは機械が、大量に試していることである。
よくある文字列から順に、片っ端から試す。相手を選んでいないので、目立たないことは、守りにならない。
そしてよくある文字列は、集められている。これまでに使われていたものの一覧が出回っているので、「自分で考えた、ありそうな文字列」は、たいてい一覧に載っている。
ここが伝わると「珍しい単語にすればよい」ではないことも分かる。珍しい単語も、単語であれば一覧にある。
効くのは長さである。1文字増えるごとに、試す組み合わせが何倍にもなる。複雑にするより、伸ばすほうが効き方が大きい。
だから説明では「記号を混ぜて」より「長くして」を先に置く。覚えやすい言葉をいくつかつなぐだけで、長さは取れる。
使い回し──自分の管理の外で決まる
こちらが本題である。
どこか別の場所で利用者の情報が漏れることがある。自分が使っていた、まったく別の場所である。
漏れた中にその人の名前とパスワードの組み合わせが入っていると、その組み合わせが、他の場所でも試される。
ここが要点である。試されるのは、当てずっぽうではない。本人が実際に使っている組み合わせである。1回で通る。
だからこちらのパスワードがどれだけ長くても、関係がない。長い文字列を、そのまま持ち込まれるだけである。
そして漏れたことに、本人は気づかない。別の場所で起きたことだからである。
自分の努力の外側で決まってしまう——これが、使い回しの危なさである。
この説明をすると「複雑にしているから大丈夫」という反論が、自然に解ける。反論を否定するのではなく、別の話だと分かる形になる。
全部を要求すると、抜け道が使われる
説明のあとにお願いを並べることになる。ここで多く言わないほうがよい。
長く、複雑に、使い回さず、定期的に変える——これを全部やると、覚えられない。
覚えられないと抜け道が使われる。
- 画面の周りに書いて貼る
- 末尾の数字だけ増やしていく
- 結局、覚えやすいものに戻る
2つ目は変えたことにはなるが、守りとしてはほとんど効かない。1つ分かれば、次も分かるためである。
だからお願いは絞る。優先順位を付けて、大事なところからにする。
全部を守れる人はいない——ここを前提にすると、お願いの数が自然に減る。
そして覚えなくて済む手段があるなら、そちらを案内する。覚える量を減らすのが、いちばん確実である。
説明文の例
パスワードについて（団員のみなさまへ）
危ないと言われるものが、2つあります。理由が別々です。
1つ目：短くて、よくある文字列
「自分のような者を、わざわざ狙う人はいない」——そのとおりです。誰かがみなさんを選んで狙っているわけではありません。
実際に起きているのは、機械が大量に試していることです。よくある文字列から順に、片っ端から試します。相手を選んでいないので、目立たないことは守りになりません。
そしてよくある文字列は、一覧として出回っています。ご自分で考えた「ありそうな文字列」は、たいていその一覧にあります。珍しい単語でも、単語であれば載っています。
効くのは、長さです。1文字増えるごとに、試す組み合わせが何倍にもなります。記号を混ぜるより、長くするほうが効きます。
覚えやすい言葉をいくつかつなぐだけでも、長さは取れます。
2つ目：他の場所と同じものを使う（こちらが本題です）
まったく別の場所で、利用者の情報が漏れることがあります。みなさんが使っている、別のどこかです。
その中にお名前とパスワードの組み合わせが入っていると、その組み合わせが、他の場所でも試されます。
ここが大事なところです。試されるのは当てずっぽうではなく、実際にお使いの組み合わせです。1回で通ります。
ですのでこちらのパスワードをどれだけ長くしても、効きません。長い文字列が、そのまま持ち込まれるだけです。
そして漏れたことに、ご本人は気づけません。別の場所で起きたことだからです。
ご自分の努力の外側で決まってしまう——これが、使い回しの危ないところです。
お願いは2つだけにします
全部を守れる方はいないと思っています。ですので、大事なところから2つだけお願いします。
- ここのパスワードは、ほかの場所で使っていないものにしてください。他がどうなっていても、ここだけは無事にできます。
- 短いものは、長くしてください。覚えやすい言葉をいくつかつなぐ形で構いません。
定期的に変えることは、お願いしません。末尾の数字だけを増やす形になりやすく、その場合ほとんど効かないためです。
覚えるのが大変な方へ
覚える量を減らす方法がありますので、◯◯までお声がけください。紙に書いて画面の周りに貼る、という形になる前にご相談ください。
「もう使い回しているかもしれない」という方へ
いま変えていただければ、それで済みます。これまでのことをお尋ねすることはありません。
2つの理由を、はっきり分けた。まとめると、片方の対処しか残らない。
「そのとおりです」と、いったん認めた。反論を否定していない。そのうえで別の話だと示している。
お願いを2つに絞った。そして「全部を守れる方はいない」と、こちらから書いた。
定期変更を、お願いしないと明記した。やらないことを書くと、やることが際立つ。
最後の一文はすでに使い回している人に向けている。過去を問わないと書かないと、名乗り出にくい。
作り方の手順
- 危なさを分ける。仕組みが違う。
- 「狙われていない」を、いったん認める。
- 機械が大量に試していると説明する。
- よくある文字列は一覧になっていると伝える。
- 複雑さより長さを先に置く。
- 使い回しは、こちらの強さと関係が無いと示す。
- 本人が気づけないことを書く。
- お願いを絞る。全部は守れない。
- やらないことも書く。
- 過去を問わないと書く。
この場面で効いている基本情報の知識
- 総当たりの試行——相手を選ばず、よくあるものから試される
- 漏れた組み合わせの再利用——別の場所の漏えいが、こちらに効く
- 長さの効き方——1文字増えると、組み合わせが何倍にもなる
- 運用と回避——要求が多いほど、抜け道が使われる
知識そのものより、2つの危なさを混ぜずに説明できることが、この場面で効いている。
説明で外したくないポイント
- 簡単な文字列と使い回しは、別の仕組み。
- まとめると、片方の対処しか残らない。
- 狙われているのは個人ではない。目立たなくても守りにならない。
- よくある文字列は、一覧になっている。
- 珍しい単語も、単語なら載っている。
- 複雑さより長さ。
- 使い回しは、こちらの強さと関係が無い。
- 漏れたことに、本人は気づけない。
- お願いは絞る。全部は守れない。
- 過去を問わないと書く。