ニュース
» 2013年08月16日 08時00分 公開

萩原栄幸の情報セキュリティ相談室:パスワードクライシス・中編 パスワード管理を取り巻く現実 (2/3)

[萩原栄幸,ITmedia]

パスワードの変更

 パスワードの変更有無について一部の専門家は「意味がない」という方もいる。理屈はよく理解できるのだが現実的には、最近では一部サイトで一定期間パスワードを変更しないと毎回「パスワードが変更されていませんので変更をしてください」メッセージが出る。無視していてもわずらわしくて、ついつい変更するしかないWebサイトも増加している。IPAの解説にここまで深い内容が無いのは残念である。

 パスワード管理ツールも、人によってはとても有効なツールになると思う。ただし、欠点は万人向けではないことだ。犯行組織だって、そういうソフトの利用が急増してしまえば、逆にそのソフトを破るための新たな攻撃ツールを作成するに決まっている。

 IPAは、なぜか手間のかかる管理手法だけを提示している。まさか、パスワード管理ツールの存在を知らなかったという訳でもないだろう。セキュリティの専門機関としては、それはまずい。国民に選択肢をきちんと提示し、決めるのは自己責任という形の方が好ましいと筆者は考える。もし、この表が他人やネットに漏れたら、マット・ホーナン氏のようになってしまう。とても恐ろしいことだ。

 マット・ホーナン氏とは、WIRED誌の2013年8月号で次のように紹介されている。

「4ドルほどの金と、2分ほどの時間を費やせば、わたしでもあなたのクレジットカード番号、電話番号、社会保険番号、住所を調べられる。さらに5分ほどあれば、アマゾン、Hulu、マイクロソフトなどのアカウントへの侵入も可能だ」(原文ママ)

 ここでの「わたし」がマット・ホーナン氏だ。彼はUS版「WIRED」およびWIRED.comのガジェットラボのシニア・ライターで、実際にこの被害に遭い、多大な損害(精神的にも金銭的にも)を負った人物である。クラウド上に展開した自分のアルバムデータまで全て喪失したという。ここで一番に恐ろしいことは、特にホーナン氏の脇が甘いということではなく、今の社会はどんなに注意しても、筆者を含む誰でもがこういうリスクを背負ってしまっているという恐ろしい現実である

もっと現実を直視しよう

 二要素認証、つまり、ワンタイムパスワードやキャプチャー理論などといったものは、今では不完全なセキュリティ強度になってしまっている(次善の策としては極めて有効)。

 だが決して、それは昔に比べて退化したから脆弱になったということではない。慰めにも聞こえるが、かつては理論上可能というものだったのが、コンピュータの進化によって現実に可能になってしまったと言うべきなのかもしれない。

 例えば、宅配便を届けると応対した人間が印鑑を押して荷物を受け取ったとする。果たして、その人物は本人だろうか。受取人はその住所に本当に住んでいるのか、印鑑を押すだけで本人と「認証」できるのか、もしかしたら配送人が受取人になりすましてネコババしたかもしれない……。私たちは、実は極めて脆弱な世界にいる。

 それは金融機関も同じだ。キャッシュカードは、たった4けたの数字(最大1万通りしかない)で認証する。これでも昔は比較的安全だった。3回入力をミスしたらカードが回収され、その周囲は100%監視カメラで監視されていたからだった。今となってはデビットカードにも使えるようになり、監視カメラがあるとは限らない脆弱な状況になってしまったが、かつてはこれで十分だったわけである。カード自体のセキュリティに変化があったのではない。

 このように環境が劇的に変化しているにも関わらず、私たちはそれに気が付いていても、見て見ぬふりをしてきたわけだ。当然ながら、金融機関はがんばってICカードや生体認証を導入した。私たちはそれらのセキュリティ強度を理屈では理解している。しかし、例えば磁気カードが使用禁止にならない限り、こうした対策を導入してもセキュリティの強化にはならない。社会は、まだその醸成時期になっていないからである。

 かつて筆者が所属した銀行は、当初はデビットカードを採用しない唯一のメガバンクであった(今では違うが)。当時の役員が筆者に「デビットカードをどう思う」と聞いてきた際、「大反対です。情報弱者に対する対応が甘く、クレジットと違って保険でカバーしないなど幾つかの大きな欠点があります。経営戦略としては理解できますが、セキュリティの観点で反対します」とお伝えした。

生体認証も日本で初めて実現した銀行だったが、その時は磁気カードの併用を認めていない設計でもあった。利用者に「コンビニATMは使えません」ということをお伝えしたが、やはり利便性が重視され、結局は併用を許容する方式を採用した。セキュリティの観点では残念だが、経営戦略としては理解できる。

 ある銀行は、「来月から生体認証も使えます。セキュリティが強化したこの新方式のカードをぜひご利用ください」と宣伝していた。これをみて筆者は、「セキュリティが弱体化したのに、強化とはどういうことですか」と先方に噛みついたが無視された。実態は磁気カードのセキュリティをそのままに、ICカードというドアをもう1つ作っただけである。ドアが増えた分、セキュリティは必ず弱体化するのである。

 2013年2月19、20日には、たった10時間間で24カ国のATMから3万6000回の引き出しを行い、日本円で総額40億円以上もの現金を盗み出されてしまった。

窃盗団はコンピュータネットワークに数か月かけて侵入し、プリペイド式デビットカードの情報を盗み出した。銀行が設定した引き出し限度額を解除した後に、デビットカードの番号と暗証番号を入手して、この情報で磁気ストライプ式カードに複写し、このカードを手に、街中のATMを回って、ありったけの現金を引き出していったという。

実は、この手法はもう10年ほど前に、筆者も「想定される犯罪」の1つに挙げていた。銀行が犯行に気が付くと当然ながら口座を凍結するので、犯罪者が短時間で同時に、しかも世界中で実施すれば、その間に多額の現金が引き出せてしまう。振込処理とは違い、現金ならその後の処理もいらない。この事件はあまり報道されなかったが、世界同時での引き出しにおいて最大の被害国は日本である(約45億円のうち10億円弱が日本)。

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ