「新世紀エヴァンゲリオン」の使徒がネルフ本部に仕掛けた“ハッキングの手口”：架空世界で「認証」を知る（2/2 ページ）

[朽木海，ITmedia]

　基本データから紹介しよう。2009年8月に劇場公開されたオリジナルアニメーションで、長野県上田市が舞台。高校2年生の「小磯健二」が、憧れの先輩「篠原夏希」にバイトに誘われるが、その内容は……？　未見の方もいると思うので、詳細なストーリーについては控えさせていただこうか。

　今回取り上げるのは健二が解いてしまった数学上の難問の方ではなく、夏希がある人物のスマートフォンのパスコードを当てたシーンについてだ。以下、若干のネタバレを含むのでご注意あれ。

　夏希の憧れの叔父、侘助が騒動の発端だったことが分かり、落胆する夏希。祖母の栄に追い出され、あちこちをフラフラしている侘助にどうにかして連絡を取りたい夏希だが、誰も連絡先を知らない。

　手元にあるのは侘助の忘れ物のiPhoneだけ。コードのヒントは「birthday（誕生日）」とある。ここから夏希は、侘助が慕っていた栄の誕生日だと気が付き、パスコードを解除。侘助と連絡を取るのである。

　ちなみに栄の誕生日は8月1日なのだが、パスコードは0108。1st, Augustとヨーロッパ式の並びになっていた。そこまで見破る夏希は大したものである。

　実際に自分の誕生日をパスコードに設定している人もいるかもしれないが、誕生日を知っている人には最初に試される番号だろう。しかも侘助の場合は栄の誕生日という若干想像しにくいものだったにもかかわらず、ちょっとした機転で破られているわけで、誕生日関係をパスコードに設定するのは危険だということが分かるだろう。

　ちなみに4桁のパスコードは1万通りの組み合わせが存在するが、誕生日だけに絞ると366通り（うるう年もあるため）。侘助のように逆順にするパターンを含めても588通りにしかならない。しかも誕生日ならどこかで入手する手段もあるわけで、セキュリティ的にはとてもお勧めできないと言えよう。

時間さえあれば力づくで破れる―ブルートフォースアタックの例

　では複雑なら良いのかというと、そうとも言えなかったりする。次に紹介するのはパスワードだけではないハッキング事例。前回紹介した「新世紀エヴァンゲリオン」TVシリーズのいちエピソードだ。

　第拾参話「使徒、侵入」。ネルフ本部に侵入した微生物状の使徒「イロウル」が、ネルフ本部のコンピュータ「MAGI」にハッキングを仕掛ける。その方法は「パスワード総当たり」で、処理速度に任せた力づくのやり方だ。セキュリティ業界用語では「ブルートフォースアタック」と呼ばれている。

　最終的に赤木リツコ博士がMAGIのCPU速度を大幅に下げて時間を稼ぎ、その間に「イロウル」への逆ハックを仕掛けるプログラムを開発。「イロウル」はそのプログラムを受けて自滅する……といったストーリーだ。この話はエヴァンゲリオンがほとんど出てこないということでも話題になった。

　このエピソードから分かる通り、いくら複雑なセキュリティを設けていても、力づくで破ることも可能であるということだ。

　複雑なパスワードもしょせんは文字の連なりにすぎない。長くすることで総当たりする時間は稼げるが、逆に人間が覚える負担となる。なので、高いセキュリティを必要とする認証には、「ある程度複雑な知識情報」と「所有物や生体情報といった別の要素」という複数の認証方式を組み合わせることが有力な対策となっている。

失敗を教訓に自身もセキュリティ対策を

　いかがだっただろうか。架空世界でも認証を突破される事例は報告されている。しかも、どれも現代のわれわれにも適用されるような話ばかりだった。

　単純なパスワード、特に名前や誕生日などの公開情報は避け、なるべく複数の認証方式を組み合わせて守るようにしていきたい。複数の認証方式を組み合わせる多要素認証を用いた架空世界については今後紹介していければと考えている。

　また、「せぐなべ」の「パスクリ通信」や、各種レビューを読んで理解を深めておくのも良いだろう。

　特にこの記事によると、総当たり攻撃に対する時間稼ぎを前提に考えると、「英字・数字・記号を組み合わせたパスワード」よりも「英字のみのとにかく長いパスワード」のほうが有効という報告が掲載されているので参考にしてほしい。

　さて、次回は1つの架空世界に絞って、どんな認証が出てくるのかを調べてみたいと思う。お楽しみに。では本日はここまで！

著者プロフィール

朽木 海 （ライター、編集者、γ-Reverse代表）

ゲーム会社や出版社などの「IPが欲しい会社」と、ライトノベル作家や脚本家、漫画家などの「IPを作りたいフリーランス」を繋げるためのプロジェクト「γ-Reverse」の代表。引き続きライター業や編集者業も行っています。

「せぐなべ」にて「オンラインゲームセキュリティガイド〜正体バレても大丈夫？ネットの向こうにご用心〜」を執筆。

「せぐなべ」紹介

ITを活用する上で無視できない認証とセキュリティの話題を、楽しく分かりやすく伝える認証セキュリティの情報サイト「せぐなべ」。運営企業のパスロジは、企業向け認証プラットフォーム「PassLogic」や個人向けパスワード管理アプリ「PassClip」などを提供。ITmedia NEWSで認証関連の話題を分かりやすく解説する「今さら聞けない「認証」のハナシ」を連載中。