使うサービスが増えるほど、パスワードの管理は面倒になります。同じものを使い回している人は少なくないでしょう。
ただ、この点についてIPA（情報処理推進機構）ははっきりと方針を示しています。パスワードはできるだけ長く、複雑にし、使い回さない。この記事では、公的に案内されている内容だけを使って、その理由と補う仕組みを整理します。
まず知っておきたい基本
まず、推奨されている内容を確認しましょう。
IPAは、パスワードをできるだけ長く、複雑にし、使い回さないよう推奨しています。
3つの要素が挙げられていますが、注目したいのは最後の「使い回さない」という点です。長さや複雑さは1つのパスワードの中の話であるのに対し、使い回しはサービスをまたいだ話だからです。
どれだけ長く複雑なパスワードを作っても、それを複数のサービスで共通して使っていれば、1か所での問題が他にも及び得ます。強度の話と、使い分けの話は別だ、と分けて考えてください。
仕組み・条件を具体的に整理
多要素認証という仕組み
パスワードだけに頼らない方法として案内されているのが、多要素認証です。
多要素認証は、記憶・所持・生体など複数の要素で認証する方式です。それぞれを簡単に言い換えると次のようになります。
- 記憶：覚えているもの（パスワードなど）
- 所持：持っているもの（スマホなど）
- 生体：体の特徴（指紋や顔など）
種類の違う要素を組み合わせる、というのがこの方式の考え方です。
なぜ有効なのか
効果についても明確に示されています。多要素認証を設定していると、ID・パスワードが不正利用されても、それだけではログインできないため、不正ログインの防止に効果があります。
ここが重要な部分です。パスワードが知られてしまった場合でも、それだけでは突破されない。パスワードの管理と、多要素認証の設定は、役割が違う対策として組み合わせられます。
初心者が間違えやすい点と確認事項
まず、同じパスワードを使っていることが、必ず被害に直結すると断定はできません。ここで説明しているのはリスクの構造であって、「使い回している人は必ず被害に遭う」という話ではありません。ただし、対策として推奨されているのは使い回しを避けることです。
次に、実務的な確認事項として復旧手段があります。多要素認証を設定した場合、その要素が使えなくなったときにどうするかは、あらかじめ把握しておく価値があります。スマホを機種変更したときや紛失したときの手順は、サービスによって異なります。
設定するタイミングで、あわせて復旧の方法まで確認しておく。この一手間で、後々の困りごとを減らせます。
整理すると、パスワードはできるだけ長く、複雑にし、使い回さないことが推奨されていること。多要素認証は記憶・所持・生体など複数の要素で認証する方式であること。そして多要素認証を設定していれば、ID・パスワードが不正利用されてもそれだけではログインできず、不正ログインの防止に効果があること。
具体的な設定方法や復旧手順については、利用しているサービスの案内や、IPAなど公的機関が公開している情報で確認してください。
コメント