-193-
FPROG の皆さんの前では、あえて書くまでもないことだが、絶対にこれだけは 付けてはいけない、というパスワードがいくつかある。まず、最も有名なのが、 passwordというパスワード。そして、IDやハンドルと同じパスワード。このあた りは常識だろう。ハンドルの場合と同じく、(*1)
・有名な小説、映画、マンガの主人公を借用したパスワード
というのも危険である。パスワードを破る側は、そのIDの持ち主の情報からパ スワードを類推しようとするからだ。
例えば、ゲーム好きだとどんなパスワードを使うか。過去の話だが、私は昔 Wizardryの呪文をパスワードに使っていたことがあった。当時に比べてRPGの経験 者は増えたため、この手のパスワードも増えていると思う。何かの小説のファン だと、登場人物の名前をパスーワードに使うかもしれない。セーラームーンのフ ァンならAMIだとかJUPITERというパスワードの人がごろごろいるんじゃないかと、 想像するだけでも恐ろしいぞ。
ネットでは、特に発言者は自己をアピールするために、差し支えないと思って、 些細な、しかしプライベートな情報を公開しがちである。趣味、出身地、好きな 作家、好きな歌。これは、ネットの一つの危険性とも言える。例えば、Wizardry の呪文をパスワードに使っているかもしれない人を捜すには、そのような人が集 まっている所に行けばいいのである。ちゃんとそういう会議のあるフォーラムが あるのだ。
******のフォーラムで**************の会議に参加している人の
IDを抜きだし、*****やら*****というパスワードでマッチするか
どうか試したりしては、絶対にいけない！！！
推敲前は、****じゃなくて、しっかり書いてあったのだが、まさかいないとは
思うが、試しにやってみたらぼろぼろパスワードがマッチした、なんてことにな
ったら洒落にならないから、念のため伏せ字にしてしまった。最近気が弱くて困
ったものだ。
もちろん、こんなパスワードは付ける方も悪いのである。
これはパスワードを公開しているようなものだ。玄関の鍵をかけずに外出した ら泥棒に入られたとする。悪いのは泥棒に決まっている。しかし、鍵をかけずに 外出した方も不用心であることは確かである。このような注意は社会で生活する 以上、怠ってはならない。もちろん、被害者になっても結構、という方は別に構 いませんが。
だから、パスワードは、他の人から連想しにくく、かつ自分では覚えやすい文 字列を使うのが理想なのである。ここで一言いっておきたい。これが今回の主題 だ。
NIFTY-Serveのパスワードは、使える文字数が少なすぎる！
何文字までかご存じ？
> ＞go member > 会員情報(1:J_=¥0D^変更 2:会員一覧 3:端末設定… > ＞1 > パスワード ( 8文字まで 改行で終了)たった８文字である。こんなに限られた数の中では、全くランダムな並びでな い限り、誰かが連想できるような文字列を選んでしまうのは、ごく当然の結果で ある。
中には、８文字もあれば何通りの組み合わせがあるから、全部試すにはすごい 時間が必要であり、実用上十分な長さだ、と全くお話にならないちゃちな議論を 展開する人がいるようだが、こういう人は無視しておいて話を進めると、私の意 見としては、パスワードの長さとしては、32文字あれば実用的、もしシステムの 資源が許せば100文字まで使えるとよいのではないかと思う。
無視はあんまりだと言うのなら、全試行にかかる時間を計算してみると、１秒 に１つのパスワードをチェックできると仮定して、最悪の場合、26^3 * 100000 = 1757600000 秒かかり、これは最悪の場合約50年以上。運がよければ何年かあ れば１つのIDに対するパスワードが見つかるかもしれない程度、だから大丈夫 という論理だろうが、じゃあ現実にパスワードを盗まれたという話がぼろぼろ 出てくるというのはどう説明するの？中には、パスワードが長くなれば覚えにくくなるだけだ、結局メモしたりすれ ば、それを見られる心配も増える。意味がない。だから短い方がいい、と訳のわ からない理論を主張する人もいる。多分、このように考えている人達は、32文字 までの長さのパスワードが指定できると言われたら、
4p8eal.4r2ou9845yiu54;qjxyy.^p.y
のようなパスワードを書くしかないという強迫観念に支配されているのだが、
そういった病的な人もとりあえず無視することにして、とにかくこういう変な主
張をする人に洗脳されてしまわないうちに、実際32文字あれば、「他の人から連
想しにくく、かつ自分では覚えやすい文字列」を作るのが、どれほど簡単かを説
明することにしよう。
そのために、今回は特別大サービスで、私のパスワードの付け方を例を使って 説明する。本当はこんなことは書きたくないのである。これでは、私のパスワー ドを盗もうとする人にヒントを与えているようなものだ。しかしパスワードをど う付ければよいかわからない、という人が被害にあってしまってからでは遅い。 この問題がかなり切実なので、とりあえずは大判振舞いである。
まず、当り前だが、私は Phinloda なんてパスワードは使わない。ハンドルと 同じパスワードは厳禁である。だいいち今時ハンドルと同じパスワードを使う人 なんている訳がない。という裏をかいて実は…ということも絶対にない。という 裏をかいて…(^^;)。
を繰り返していては話が進まないので、先へ行く。もう一つの絶対使わないパ スワードは、SDI00344である。IDと全く同じパスワードというのも厳禁である。 パスワード破りをする人が、まず試すのがこれなのだから。
ところが、32文字までパスワードに使えるなら、例えば、次のような文字列を 使うことができる。
SDI00344Phinloda
これは、意味のある単語を連結するという発想がないと、なかなか思い付かな
い。しかし、意味のある単語を連結してパスワードを作るのは、極めてありふれ
た方法である。最も基本技、こんなの常識。だから、このパスワードも多分誰で
も思い付きそうなものだ。ただ、組み合わせという点では、単一の単語よりは、
はるかに偶然見つけられる確率が低い。
そこで、より安全にするために、次のように書く。これならどうか。
SDI00344.Phinloda
間に'.'を入れた。こうなってくるとかなり難しくなる。ただし、この場合に限
った例外として、ピリオドで区切る書き方は比較的ポピュラーなのだ。だから、
この書き方だけはいまいち感心しない。そこで結論だが、私ならば、次のような
パスワードを使ことにするのである。
SDI00344aPhinloda
「a」ってのは何だ？ 単なる区切りであって、深い意味はない。重要なのは
「a」という文字を区切りに使う人は滅多にいないということである。もちろん、
これは普通の書き方ではないので、「a」で区切った、ということをすぐ忘れてし
まうかもしれない。これを忘れては大変だから、手帳にはパスワードをメモして
おくとよい。
「ちょっと待て、パスワードをメモするなんて、一番やってはいけないことで はないのか？」 そう言われると思った。ごもっとも、その通りだが、実はちょ っと違う。パスワードをそのまま書いてはいけない。手帳を盗まれたら、パスワー ドも盗まれてしまう。そうではなく、区切りだけ書いておけばいいのだ。
NIFTY-Serveは、a
これを見てパスワードがわかるとすれば、今書いたような手順を知っているか
らである。こんな所で紹介しなければ、私がこのような手順でパスワードを作っ
ていることは誰も知らないから、実に安全な方法だったのである。（さてと、こ
れからどうするかだ…）
ネット毎にパスワードを変えているのだが、IDが多過ぎて覚えられない、とい う悲惨な方もいるかもしれない。この場合も、メモしておけば大丈夫である。も ちろん、全部メモしてはいけない。まず、自分なりに使う言葉を決めておく。例 えばSDI00344とPhinlodaとFPROGとすれば、この中から２つ選択する順列が６通り ある。
NIFTY-Serveは、sap
ナニガシnetは、p+f
こう書けばナニガシnetのパスワードはご想像の通り、Phinloda+FPROGとなる。
しかし、元の単語を知らないとp+fからパスワードを引き出すのは不可能に近い。(*2)
書いた本人はs=SDI00344であることが自明だからよいが、他の人がsapという３文
字を見ても何だか分かる訳がないのだ。
これでも危険だと思ったら、SDI00344ではなくSDI0034、PhinlodaではなくPhinlod を使って組み合わせる。最後の１文字を取っておく。これはまず想像できない。
*
このように、パスワードに許される文字数が多いと、好きな単語を組み合わせ
ることができるので、信頼度が飛躍的に増大するのである。(*3)
RPGマニアがMAHALITOというパスワードを使ったり、セーラームーンマニアがAMI というパスワードを使うのは簡単に見破られるが、RPGに興味のあるセーラームー ンマニアがMAHALITO+AMIというパスワードを使ったら、２単語の組み合わせのパ スワードだという情報が漏れない限り、まず破られる心配はない。
しかし、NIFTY-Serveの場合、８文字。組み合わせるには、セパレータを省略す るとしても、4+4文字、これではパスワードの付けようがない。
この他にも、文字をシフトしたり、ランダムな数字を頭や最後に追加する等の 方法がある。しかし、どうしても覚えにくいのである。それよりは、意味のある 言葉を単に組み合わせることができれば、まだ覚えるのも簡単である。8文字とい う前時代の制限から、早く脱却して欲しいものだ。
(*2) ここは「+」という文字をつなぎに使うというのがミソである。
(*3) たかが単語の組み合わせじゃないか、と思うかもしれない。確かにそうである。しかし、現に1つの単語そのもの、でパスワードがヒットするらしい。クラッカーはわざわざ組み合わせてチェックするような面倒をかける必要はないのだ。モノは弱い所から壊れるものである。1単語のパスワードが世の中から絶滅した時は要注意である。
COMPUTING AT CHAOS RUINS -193-
1992-12-14, NIFTY-Serve FPROG mes(6)-289
FPROG SYSOP / SDI00344 フィンローダ
(C) Phinloda 1992, 1996