「パスキー」って一体何だ？　パスワード不要の世界がやってくる（2/4 ページ）

公開 2023年01月23日 15時31分

更新 2023年01月25日 18時36分

著者

小山安博

[ITmedia]

印刷する Googleで優先するソースとして追加

限界が来ているパスワードの世界

　「お客様が不在の為、お荷物を持ち帰りました」。そんな文面のSMSを受信した経験のある人は多いだろう。他にも筆者の元には「【最終警告書】ご利用料金のお支払いについて」なんてSMSも届いている。

偽のSMSはこうした謎のURLに誘導しようと送られてくる

　言うまでもないが、これらはスパムだ。こうしたSMSにはURLも記載されており、アクセスすると配送会社やオンラインサービスのWebサイトにそっくりなサイトにつながり、IDとパスワードの入力が求められる。もし、ここにIDとパスワードを入力すると、そのデータが犯罪者に盗まれて、本物のサイトへのログインに悪用されてしまう。

　昨今多発しているこの問題の根幹には、パスワードの限界がある。

　まず偽のサイトにIDとパスワードを入力させるフィッシングだ。これは、Webブラウザのパスワードマネージャーやパスワード管理ソフトである程度対応できる。

　こうしたパスワード管理ツールのメリットは、パスワードとサイトのURLをひも付けて覚えてくれるという点だ。ログイン画面でツールを使うと、URLが一致すればひも付いたパスワードを入力してくれるが、どんなに見た目が似ていても、URLが異なる偽サイトには反応しない。「パスワード管理ツールが反応しないから手入力する」のではなく、「反応しないから偽サイトなので入力しない」という使い方ができる。

これはパスワード管理ツール「Bitwarden」の画面。「URL」とある部分と一致するURLであればユーザー名とパスワードの自動入力ができる。仮にURLが「g00gle.com（oを0にした偽物）」だったとしたら反応しない

　偽サイトはこれで対応できるとしても、パスワード自体が流出していたら、犯罪者が本人になりすましてログインできてしまう。こうした攻撃は、ユーザー側の防衛が難しい。

　定期的にパスワードを変更するよう求めるサイトもあるが、パスワードが漏えいした瞬間に変更でもしない限り、次のパスワードに変更するまでの間は無防備のままであるため、セキュリティ上はあまり意味がない。定期的に変えるという手間がかかることで、パスワードが単純化したり使い回しをしたりすることも問題となる。実際、米国立標準技術研究所（NIST）や日本の内閣サイバーセキュリティセンター（NISC）も定期変更は求めるべきではないと表明している。