セキュリティ対策、とりわけパスワードについての考え方は、人によって千差万別。安全性と使いやすさのバランスが悩みどころという方も多いはず。強固なパスワードを使えば安心感はありますが、長々としたものには面倒も付きまといます。では、「安全性と使いやすさのバランスが取れたパスワード」とはどのようなもので、そのバランスは万人に共通なのでしょうか。

過去12年に渡り、大企業における盗用や詐欺、組織犯罪、企業スパイといった事例の調査に関わり、監視、コンピューター法科学、倫理的ハッキングなどについての著書もあるセキュリティのエキスパート、Brandon Gregg氏のアドバイスを参考に考察しました。

まずは、「脆弱なパスワード」とはどのようなものかを見てみることにしましょう。■「脆弱なパスワード」の3パターン

Gregg氏によると、脆弱なパスワードは主に3つの種類に分けられるそうです。

1. 簡単に推測／破ることができるパスワード：「Amazon EC2、GPUクラスタ、そしてAccessDataのDistributed Network Attack（DNA）などのソフトウェアを利用すれば、1秒間に何億ものパスワードを推測することは簡単です」とGregg氏。Twitterのようなサイトですら、そうした「しらみつぶし型」のパスワード攻撃を、ランダムにIPアドレスを変更するだけで通してしまうそうです。

2. 忘れやすいパスワード：自分で覚えられないパスワードでは意味がありません。「パスワードを覚えられずリセットを繰り返すことは、将来的な危険につながります」とGregg氏は言います。

3. 多くのサイトで共通して使っているパスワード：もし、1つのアカウントが乗っ取られたら、全てのアカウントが乗っ取られることになります。

こうした要素を1つか2つ改善するのは大した労力ではありませんが、全てを改めるのはかなり面倒でしょう。それでは次に、弱いものから強いものまで、パスワードのセキュリティ・レベルを段階的に検討してみます。

■パスワード・セキュリティの4段階

・最も弱い：シンプルな英数字だけのパスワード

最も弱いパスワードは、数字と文字の組み合わせ、もしくはどちらかだけのものです。単語や電話番号などはたしかに覚えやすいかもしれませんが、それらのパスワードは先に挙げた「しらみつぶし型」の攻撃によって簡単に推測されてしまいます。特にパスワードが8文字以下の場合は危険です。

シンプルなパスワードを複数のアカウントに共通して使えば面倒も減ります。ですが、大変危険な方法であることは間違いありません。パスワードを使っていない状態とあまり変わりはないと考えても良いくらいです。

例：charlie、hotstuff、8675309、mary212

・まあまあ安全：複雑な8文字以上のパスワード

大文字と小文字、1つ以上の数字や記号を組み合わせた8文字以上のパスワードは、入力に手間はかかりますが、ハッキングの可能性を減らします。ただし、辞書に載っている単語を使うのは避けるべきです（例：pantomime →p@nt0m!me）。フレーズを使う方が好ましいですが、これもまだパーフェクトな方法とは言えません（例：I love goats → iLuVg0@ts)。

この方法の欠点は、それぞれのサイトで異なるパスワードを使う際に混乱しやすいところです。

例：t@lk4Ev3r!、iLuVg0@ts、b3stFr13ndS4eVer?!

・かなり安全：1つの複雑な基本パスワード＋サイト別の要素

長くて込み入ったパスワードをサイト別に覚えるのは大変ですが（パスワードマネージャーを使う方法もありますが、それについては後述）、1つだけなら何とかなるはずです。ただし、1つのパスワードをそのまま複数のサイトで流用するのは、上述したように危険なことです。

そこで、基本となるパスワードに、サイト別の要素を付け加えるのです。安全性が高まります。例えば、iLuVg0@atsという基本パスワードを設定し、Gmailに対しては「iLuVg0@ts-gmail」といった具合に、サイト別にアレンジを施すのです。

例：iLuVg0@ts-gmail、iLuVg0@ts-facebook

しかし、ちょっと頭の回るハッカーであればパターンを見抜いてしまうでしょう。Gregg氏は「gmail」や「facebook」といったタイトルをそのまま使うのではなく、サイトから連想される言葉を付け加えることを推奨しています。例えば、Gmailなら「email」、Facebookなら「friends」などです。こうすれば、自分にとっては覚えやすく、ハッカーには推測しづらいパスワードになることでしょう。

例：iLuVg0@ts-email、iLuvg0@ts-friends

安全性の高いパスワードを作成する別の方法として、「3つの単語をスペースでつなぐ」というものもあります（例：goats love gmail）。辞書にある単語をつないでいるだけなので一見簡単に破られそうですが、実はスペースが記号として扱われるため、安全性を高める効果があるのです。しかし、「この方法はスペースを記号として認めないサイトやアプリケーションが多いことを考えると、やや使いづらいものである」とGregg氏は指摘しています。

もちろんスペースの代わりに別の記号を使うことはできます。ただ、記号の使用に関してはサイトごとに異なることがあるため、さまざまな記号を用いているうちに、どのサイトでどの記号を使っていたか混乱しやすくなるという問題があります。また、もしスペースが使用可能であったとしても、この方法がシンプルであることは否めません。やはり「基本共通パスワード＋付加要素」のほうが安全性は高いでしょう。

・非常に安全：2段階認証＋自分すら知らないパスワード

誰も知らない、長く複雑な文字列。それ以上に安全なパスワードはないでしょう。ですが、自分が覚えていないパスワードを入力することはできません。たしかに、すべてのパスワードを1つのデータベースに保存し、単一のマスターパスワードでそれを処理する『LastPass』のようなパスワードマネージャーを使えば、この問題を解決することはできます。しかし、Gregg氏は「マスターパスワードを盗まれた場合、すべてを盗まれることになる」と指摘。つまり、共通したパスワードをすべてのサイトで使うことと同じ危険性をはらんでいるのです。では、それを回避するには？　ここで2段階認証の出番となります。どのように働くものなのか、Gregg氏の説明を聞いてみましょう。

2要素認証により加えられるセキュリティーのレイヤーを、他者が通り抜けるのはほぼ不可能です。「普通の」パスワードを入力したあとで、さらにGoogleなどのサイト側からユーザーの携帯電話に送られてきたテキストメッセージを使うからです。ハッカーにとって（携帯電話に『FlexiSPY』のようなモニターツールがインストールされていない限り）他人の携帯電話を見るというのは難しいことです。さらにこの方法は、攻撃を受けた際の警告にもなります。もし、午前2時に突然認証コードが携帯電話に送られてきたとしたら、それは以前に付き合っていたガールフレンドが、あなたのアカウントを開こうとしているサインかもしれません。

LastPassのようなパスワードマネージャーを使うのであれば、2段階認証を有効にしておくべきでしょう。ただ、「2段階認証こそ最強」とはよく言われますが、同時に最も面倒な方法でもあります。その面倒さを面倒と思うかどうか、それはあなた次第です。

■自分にとってベストなパスワードを決める方法

冒頭でもお話ししたように、「安全性と使いやすさのバランスを決めること」がセキュリティ対策のポイントとなります。もし、あなたが毎回のセキュリティチェックを受け入れ、ランダムに生成された、自分でも知らないパスワードを使うのであれば、安全性に関しては頭を悩ませる必要はないでしょう。米Lifehackerのライターやエディターの多くはこのレベルのパスワードを使用しています。2段階認証も慣れてしまえば面倒ではないようです。

ですが、個人的にはどうもこの方法は面倒でやり過ぎな感が拭えません。そこで、私は上述の「とても安全」レベルの方法を採用しています。理由は2つ。まず、パスワードマネージャーを使用する方法は、自分のデータの安全性を誰かに委ねることになるからです。誰かにデータを預ければ、（意図的であるなしにかかわらず）そのデータが失われたり勝手に使われたりするというリスクを伴うことになります。秘密を隠す最善の方法は誰にも言わないことであるように、そうしたリスクは最小限にとどめておきたいのです。

また、私は自分のデータに無理なくアクセスしたいと考えていると同時に、多少のリスクは負う覚悟を持っています。絶対に悪いことのない人生などありません。もちろん、そうならないように努力すべきではありますが、それでもアクシデントは起こるときは起こるのです。こういう考え方をしている私にとっては、「とても安全」くらいの方法がちょうど良いのです。

では、あなたはどのレベルの対策を採るべきなのでしょう？　Gregg氏は以下のようにまとめます。

最も優れたアラーム、最も高いフェンス、最新のテクノロジー。そういったものだけが「セキュリティ」ではありません。見逃されがちですが、コストや利便性についても考えるべきなのです。完全な暗号化、生体認証、マルチレベルの認証方式などで強固なセキュリティを築くことは可能です。しかし、現実的なリスクを検討しないのであれば重荷となるだけです。

2要素認証は現時点で最高の防護策ではありますが、余計な時間を必要としますし、やり過ぎである可能性もあります。あなたが国家レベルでスパイの対象となるのでなければ、2要素認証は必要ありません。もし、銀行口座がハックされる可能性が現実的であれば2要素認証を使いましょう。現実的なリスクを把握することこそ、ベストなセキュリティレベルの決定に必要なのです。

個人的な必要性と、引き受けるリスクの範囲。それによりセキュリティのレベルが決まります。しかし、どれだけ強固な対策を採っても、ハッキングの可能性がゼロにはなることはありません。バックアップを取る習慣をつけましょう。また、アカウントの状態には常に細心の注意を払うことも忘れずに。パスワードで防御を固めることだけがセキュリティ対策ではありません。最悪の事態に備えることも肝心なのです。

Adam Dachis（原文／訳：河西良太）

Photos by edel (Shutterstock) and Stock Elements (Shutterstock).