いったいどんなパスワードを作ればいいのか　【岡嶋教授のデジタル指南】

　「常識とは実際のところ、18歳までに心の中に積み重なった偏見の堆積物に過ぎない」
　ほんとにこれをアインシュタインが言ったかどうかはともかくとして、知見って上書きされますよね。私が育ったころは、「運動中に水分を取るな」とか言われていましたが、いま同じことをしたら虐待だと思われます。

変わったこと①：定期更新はしなくていい
【昔】パスワードを使い続けると漏洩リスクが高まるので、90日ごとに変更しよう
【今】流出していない限り、変更しなくていい

　私自身がそうですが、パスワードって、そんなに頻繁に新しいものを記憶できません。無理な変更を強制されると、人はどうするのか？　そう、抜け道を探します。
　Password01をPassword02にするだけだったり、Aをaに変えるだけだったりと、（攻撃者が推測しやすい）微修正で済ませようとします。攻撃者はとっても勤勉ですから、そのパターンを熟知しています。結果として、定期更新を強いると覚えやすい弱いパスワードが量産されるため、現時点では「流出の懸念がない限り、使い続ける方が安全」とされています。当然のことながら、その「使い続けるパスワード」が強力なものであることが前提です。qwertyuiop（キーボードのホームポジションにある上段の10文字を左から順に並べた文字列）じゃまずいんです。

変わったこと②：複雑さより長さ
【昔】英大文字、小文字、数字、記号を全て混ぜて、8文字以上にしましょう
【今】無理に記号を混ぜるより、とにかく長くしましょう

　コンピューターの計算能力は飛躍的に向上しました。その結果、数文字程度のパスワードでは、いくら記号を混ぜても一瞬で突破されるようになりました。現時点の主流はパスフレーズという考え方です。意味のない記号の羅列を覚えるのは困難ですが、「Kyo_wa_Tenki_ga_Yokute_Komike_biyori」（今日は天気が良くてコミケ日和）のように、ローマ字で文章にしてしまえば、20文字、30文字になっても簡単に覚えられます。攻撃者にとっての障壁は文字の種類よりも長さです。短くて複雑なものより、シンプルでも長いものの方が、解析に時間が（それも圧倒的に）かかります。

変わったこと③：紙に書くのはアリ
【昔】パスワードを紙に書くと、誰かに見られるからダメ
【今】全部同じパスワードにするくらいなら、紙に書いて管理した方がマシ

　もちろん、今でもポストイットに書いてモニターに貼ったりするのは良くないです。っていうか論外です。しかし、現代人は何十ものサービスを利用していて、全てにおいて違うパスワードを記憶するのは事実上不可能です。教科書通り、記憶だけで何とか運用すべきと頑張った結果、「全てのサイトで同じパスワードを使い回してしまいました」が最も危険な行いです。あっという間にリスト型攻撃の餌食になるでしょう。
　自宅の金庫（みんな持ってるんですかね）や鍵のかかる引き出しの中など、物理的に盗まれたりしない限り安全な場所があるなら、そこに保管された紙はネット越しの攻撃者からは見えません。

【著者略歴】
　岡嶋　裕史（おかじま　ゆうし）　中央大学国際情報学部教授／中央大学政策文化総合研究所所長。富士総合研究所、関東学院大学情報科学センター所長を経て現職。著書多数。近著に「思考からの逃走」「プログラミング/システム」（日本経済新聞出版）、「インターネットというリアル」（ミネルヴァ書房）、「メタバースとは何か」「Web3とは何か」（光文社新書）、「機動戦士ガンダム ジオン軍事技術の系譜シリーズ」（KADOKAWA）。