パスワードポリシー

パスワードポリシーは、強力なパスワードを採用し、適切に使用することをユーザーに奨励することで、コンピューターのセキュリティを強化するために設計された一連のルールです。パスワード ポリシーは、多くの場合、組織の公式規制の一部であり、セキュリティ意識向上トレーニングの一環として教えられることもあります。パスワード ポリシーは単なるアドバイスであるか、コンピューター システムがユーザーにそれに従うことを強制するかのいずれかです。一部の政府には、パスワードの要件を含む、政府サービスへのユーザー認証の要件を定義する国家認証フレームワーク^[1]があります。

米国商務省の国立標準技術研究所(NIST) は、広く遵守されているパスワード ポリシーの 2 つの標準を発表しました。

2004 年から、「NIST 特別刊行物 800-63. 付録 A」^[2]では、大文字と小文字の使い分けを不規則にしたり、特殊文字を使用したり、少なくとも 1 つの数字を使用したりすることが推奨されています。これはほとんどのシステムが従うアドバイスであり、企業が従う必要のある多くの標準に「組み込まれて」います。

しかし、2017年に大幅な更新が行われ、このアドバイスは変更され、特に複雑さと定期的な変更を強制することは悪い習慣と見なされるようになりました。^{[3] [4] : 5.1.1.2}

主なポイントは次のとおりです。

• 検証者は、文字の組合せ規則を課してはならない（例えば、異なる文字種の混合を要求してはならない、連続して繰り返される文字を禁止してはならない）（これは、改訂版4で「すべきではない」から「してはならない」に変更されたことに注意）^[5]
• 検証者は、パスワードを任意または定期的に変更することを要求してはならない（例：90日または365日の変更ルールはない）
• パスワードは8文字以上でなければなりません
• パスワード システムでは、加入者が選択したパスワードの長さが少なくとも 64 文字である必要があります。
• パスワードには、すべての印刷可能なASCII文字、スペース文字、およびUnicode文字が使用できる必要があります。
• パスワードを設定または変更する場合、検証者は加入者に対し、弱いパスワードまたは侵害されたパスワードを選択した場合は別のパスワードを選択する必要があることを通知するものとする。
• 検証者は、ユーザーが強力なパスワードを選択できるように、パスワード強度メーターなどのガイダンスを提供する必要があります。
• 検証者は、オフライン攻撃に耐えられる形式でパスワードを保存する必要があります。パスワードは、適切な一方向キー導出関数を使用してソルト化およびハッシュ化する必要があります。キー導出関数は、パスワード、ソルト、コスト係数を入力として受け取り、パスワード ハッシュを生成します。その目的は、パスワード ハッシュ ファイルを入手した攻撃者によるパスワード推測の試行をコストの高いものにし、推測攻撃のコストを高くしたり、法外なものにすることです。

NIST は、新しいガイドラインの根拠を付録 A に記載しました。

パスワード ポリシーの一般的なコンポーネントは次のとおりです。

多くのポリシーでは、パスワードの最小文字数が定められています。8文字が一般的ですが、適切ではない場合もあります。^{[6] [7] [8]パスワードが長いほど安全になることはほぼ間違いありませんが、一部のシステムでは、}レガシーシステムとの互換性のために最大文字数を制限しています。

一部のポリシーでは、ユーザーが選択できるパスワードの種類に関する要件を提案または課しています。たとえば、次のようなものがあります。

• 大文字と小文字の両方の使用（大文字と小文字の区別）
• 1つ以上の数字の包含
• @、#、$などの特殊文字を含める
• パスワードブロックリストにある単語の禁止
• ユーザーの個人情報に含まれる禁止語
• 会社名または略称の使用禁止
• カレンダーの日付、車のナンバープレートの番号、電話番号、その他の一般的な数字の形式に一致するパスワードの禁止

他のシステムでは、ユーザーの初期パスワードが作成されますが、その後、短期間でユーザーが選択したパスワードに変更する必要があります。

パスワード ブロック リストは、常に使用がブロックされるパスワードのリストです。ブロック リストには、文字の組み合わせで構成され、それ以外は会社のポリシーを満たしているものの、簡単に推測できる、一般的なパターンに従っている、以前のデータ侵害により公開されているなど、1 つ以上の理由により安全でないと判断されたため、使用すべきではないパスワードが含まれています。一般的な例としては、Password1、Qwerty123、Qaz123wsx などがあります。

一部のポリシーでは、ユーザーに定期的にパスワードを変更することを義務付けており、多くの場合90日または180日ごとに変更します。ただし、パスワードの有効期限が長いことのメリットについては議論の余地があります。^{[9] [10]}このようなポリシーを実装するシステムでは、ユーザーが以前に選択したパスワードに近すぎるパスワードを選択できないようにすることがあります。^[11]

このポリシーは裏目に出ることがよくあります。ユーザーの中には、覚えやすい「良い」パスワードを考えるのが難しいと感じる人もいます。そのため、パスワードを頻繁に変更する必要があるために多くのパスワードを選択する必要がある場合、ユーザーは最終的にはるかに弱いパスワードを使用することになります。また、このポリシーは、ユーザーにパスワードを書き留めるよう促します。また、ポリシーによってユーザーが最近のパスワードを繰り返すことを禁止する場合、古いパスワードをメモリから消去するのではなく、すべてのユーザーの最近のパスワード (またはそのハッシュ) のデータベースが存在する必要があります。最終的に、ユーザーは数分以内にパスワードを繰り返し変更し、その後、本当に使用したいパスワードに戻して、パスワード変更ポリシーを完全に回避する可能性があります。

パスワードの人間的側面も考慮する必要があります。コンピュータとは異なり、人間のユーザーは 1 つの記憶を削除して別の記憶に置き換えることはできません。したがって、記憶したパスワードを頻繁に変更することは人間の記憶に負担をかけ、ほとんどのユーザーは比較的推測しやすいパスワードを選択することになります ( 「パスワード疲労」を参照)。複雑なパスワードを覚えるためには、ニーモニックを使用するようにユーザーにアドバイスすることがよくあります。ただし、パスワードを繰り返し変更する必要がある場合、ユーザーはどのニーモニックを使用するかを覚えていないため、ニーモニックは役に立ちません。さらに、ニーモニックを使用すると (「2BOrNot2B」などのパスワードになります)、パスワードが推測しやすくなります。

管理上の要因も問題になることがあります。ユーザーが使用している古いデバイスでは、パスワードの有効期限が切れる前に使用したパスワードが必要になることがあります。^{[説明が必要]}これらの古いデバイスを管理するために、ユーザーは古いデバイスにログインする必要がある場合に備えて、古いパスワードをすべて書き留める必要がある場合があります。

非常に強力なパスワードを要求し、それを変更しないようにする方がよい場合が多い。^[12]しかし、このアプローチには大きな欠点がある。権限のない人がパスワードを入手し、検出されずに使用した場合、その人は無期限にアクセスできる可能性がある。

パスワードが弱いために誰かがそれを推測する可能性と、より強力なパスワードを誰かが盗んだり、推測せずに入手したりする可能性という要素を比較検討する必要があります。

ブルース・シュナイアーは「記憶できるものはほとんど何でも解読できる」と主張し、辞書に載っていないパスワードを使用する方式を推奨している。^[13]

パスワードポリシーには、警告から始まり、コンピュータ権限の喪失や解雇に至る段階的な制裁が含まれる場合があります。機密情報が機密情報である場合など、法律で機密保持が義務付けられている場合、パスワードポリシー違反は一部の法域では刑事犯罪となる可能性があります。^{[14]セキュリティ}の重要性を説得力を持って説明する方が、制裁の脅しよりも効果的であると考える人もい^{ます[要出典]}。

要求されるパスワードの強度のレベルは、とりわけ、攻撃者が複数の推測を提出することがいかに容易であるかによって決まります。システムによっては、ユーザーが間違ったパスワードを入力できる回数を制限し、それを超えると遅延が課せられるか、アカウントが凍結されます。その反対に、一部のシステムでは、誰でもパスワードの有効性をチェックできるように、特別にハッシュ化されたバージョンのパスワードを利用できます。これを行うと、攻撃者はパスワードを非常に迅速に試すことができます。したがって、妥当なセキュリティを確保するには、はるかに強力なパスワードが必要です (パスワード クラッキングとパスワードの長さの式を参照してください)。ルート アカウントやシステム管理者アカウントなど、より高い権限を持つアカウントには、より厳しい要件が適切です。

パスワード ポリシーは通常、理論上のセキュリティと人間の行動の実際との間のトレードオフです。例:

• 過度に複雑なパスワードを要求し、頻繁に変更するように強制すると、ユーザーは、コンピューターの近くのロロデックスや付箋など、侵入者が見つけやすい場所にパスワードを書き留めてしまう可能性があります。
• 多くの場合、ユーザーは数十のパスワードを管理する必要があります。オンライン新聞の閲覧やエンターテイメント Web サイトへのアクセスなど、セキュリティの低いすべてのアプリケーションに 1 つのパスワードを使用することを推奨する方が現実的かもしれません。
• 同様に、パスワードを決して書き留めないようにユーザーに要求するのは非現実的であり、ユーザーが弱いパスワードを選択する原因となる可能性があります (または、ユーザーがパスワードを忘れたときに大きな不便が生じます)。代替案としては、書き留めたパスワードを金庫や暗号化されたマスター ファイルなどの安全な場所に保管することを提案する方法があります。このアプローチの有効性は、最も可能性の高い脅威が何であるかによって異なります。パスワードを書き留めることは、潜在的な攻撃者が安全なストアにアクセスできる場合に問題になる可能性がありますが、脅威が主にストアにアクセスできないリモート攻撃者である場合は、非常に安全な方法になります。
• ユーザーが別の国のコンピューターにログオンする必要がある場合、特殊文字が含まれていると問題になることがあります。一部の特殊文字は、別の言語用に設計されたキーボードでは見つけるのが困難または不可能な場合があります。
• 一部のID 管理システムでは、セルフサービス パスワード リセットが許可されており、ユーザーは「どこで生まれましたか?」、「好きな映画は何ですか?」などの 1 つ以上のセキュリティの質問に対する回答を提供することで、パスワード セキュリティを回避できます。多くの場合、これらの質問に対する回答は、ソーシャル エンジニアリング、フィッシング、または簡単な調査によって簡単に入手できます。

2010 年に 75 の異なる Web サイトのパスワード ポリシーを調査した結果、セキュリティはポリシーの厳格化を部分的にしか説明できないという結論が出ています。政府のサイトなど、独占的なサービス プロバイダーは、消費者が選択できるサイト (小売サイトや銀行など) よりもポリシーが厳格です。この調査では、ポリシーが厳格であるサイトは「セキュリティ上の懸念が大きいわけではなく、単に使い勝手の悪さから生じる影響からより保護されているだけである」と結論付けています。^[15]

単純なパスワードよりも安全であると一般的に考えられている他のアプローチもあります。これには、S/Keyなどのセキュリティトークンやワンタイムパスワードシステム、または多要素認証の使用が含まれます。^[16]しかし、これらのシステムはセキュリティと利便性のトレードオフを高めます。Shuman Ghosemajumderによると、これらのシステムはすべてセキュリティを向上させますが、「エンドユーザーに負担を負わせるという代償を伴います。」^[17]

• ランダムパスワードジェネレーター
• ソフトウェアシステムにおけるエラーメッセージのセキュリティ
• シングルサインオン