先に結論から言おう。答えは短いのに、丸ごと言われることがほとんどないからだ。 理由があるときに。九十日ごとにではない。
カレンダーで変える習慣は体に染みついていて、歯を磨くのと同じ衛生習慣のように 感じられる。だがそれは賞味期限つきの勧告で、期限はもう切れている。米国のNISTが 2003年に書き、2017年に撤回し、その文書の著者は同じ年に公の場で謝罪した。この 経緯はパスワードとは何かで丸ごと語っている。ここで 問題にしたいのはもう一方、ほとんど説明されない側だ。あなたが今日、自分の パスワードに対して何をするか。
カレンダーは、あなたが何か盗まれたかどうかを知らない
日付で回すことの問題は、日付が何の情報も持っていないことにある。
誰かが二月の火曜日にあなたのパスワードを手に入れていたなら、期日だからと四月 一日に変えるのは、その相手に一か月半以上のアクセスを贈るのと同じだ。そして誰も 触れていなかったのなら、変えたことは何からも守っていない。良いパスワードを、 おそらくもっと悪いものに取り替えただけである。義務で書かされるパスワードは、 気のない書き方をされるからだ。
失敗の仕組みはここに全部ある。強制的なローテーションは新しいパスワードを生ま
ない。変種を生む。 Natsu2026! は Aki2026! になり、次は Fuyu2026! になる。
攻撃する側はそれを知っている。その並びは、出どころの壁掛けカレンダーと同じくらい
予測できるからだ。システムは満足する——パスワードは「変わった」——のに、実際の
安全性は上がるどころか下がっている。
だからNISTはSP 800-63Bで二つを一緒に言う。時間を理由にした恣意的な変更は するな、そして侵害の兆候があればただちに変更を強制せよ、と。変えることが どうでもいいという話ではない。引き金は日付ではなく事実でなければならない、と いう話である。
本当に数えるべき理由
これがその一覧だ。次のどれかが起きたなら、パスワードは来月ではなく今日変える。
- 流出に出てきた。 そのサービス自身の流出でも、同じものを使っていた別の サービスの流出でも。
- 使い回していた。
Xが流出し、それを他の四つのサイトにも置いているなら、 変えるパスワードは一つではなく五つある。 - そのサイトではなかったサイトに入力した。 急かすメール、リンク、よく似た フォーム。二秒後に気づいたかどうかは関係ない。送信はもう済んでいる。
- 共有した。 家族に、同僚に、仕事のチャットに、紙に。誰が読むかを自分で 管理できない経路を通ったパスワードは、もうあなたのものではない。
- おかしな動きが見える。 行ったことのない場所からのログイン、頼んでいない 再設定メール、書いた覚えのない送信済みメッセージ。
- 端末が侵害された。 マルウェアの入ったパソコン、なくした携帯、見知らぬ 修理業者を経由したノートパソコン。
- サービスから警告が来た。 企業がそのメールを送ってきたら、その日のうちに 対応する。まさにSP 800-63Bが想定している場合だ。
- 同居が終わった。 元パートナー、シェアハウス、共同経営者。二人のものだった アカウントが、いま一人のものになった。
共通点に注目してほしい。どれも事実である。 「九十日たった」というものは一つ もない。
最初の一つには道具がある。あるパスワードがすでに出回っている一覧に載っているか、 ついでにどれくらい持ちこたえるかを知りたければ、 パスワードチェッカーに通してほしい。解析はあなたのブラウザの中で 行われ、そこから外には出ない。
理由があるときは、順番が効いてくる
パスワードを変えるのは当然の一手だが、多くの場合それは最初の一手ではない。同じ 作業を二度しなくて済む順番はこうだ。
まず端末。 打鍵を読み取る何かが仕込まれている疑いがあるなら、その同じ機械 からパスワードを変えることは、新しいほうを手渡すのに等しい。先に掃除するか、 別の端末を使うこと。
次にメール。 メールのアカウントは数あるうちの一つではない。他のすべての 「パスワードを忘れた」リンクを受け取るアカウントである。メールを握る者は、 残り全部を正面玄関から握る。始めるパスワードが一つだけなら、それだ。
続いて、開いているセッションを閉じる。 パスワードを変えても、すでに中に いる者が必ず追い出されるわけではない。アカウント設定で「すべての端末から ログアウト」に当たる項目を探して使う。そうしないと、侵入者はあなたのパスワードを もう必要としないセッションでつながったままになる。
そして最後に、何を仕込まれたかを確認する。 ここがいちばん飛ばされる段階だ。 アカウントに入った者は眺めるだけでは終わらない。復旧用のメールアドレスを変え、 電話番号を足し、自分の二要素を有効にし、アプリを接続し、受信箱に転送ルールを 仕込む。パスワードを変えてもそこを見なければ、開いたままの扉から明日また 入ってくる。 復旧手段、承認済み端末、接続済みアプリ、転送ルールを見直すこと。
もう一つ、当たり前すぎるがゆえにいちばん守られないこと。変えるなら、新しいものは 新しくなければならない。いつものものの数字違いではだめだ。 ジェネレーターで生成し、自分の記憶に頼らない場所に保管する。
残り三百六十日に何をするか
引き金が事実であり、その事実がまれなのだとしたら、問いは別のものになる。では 何もしなくていいのか。逆である。ローテーションが下手に解こうとしていたことは、 四つのことでうまく解ける。しかもどれも一度きりで済む。
長くする。 SP 800-63Bは、ひねりよりも長さを前に置く。長いパスワードは、記号 を詰め込んだ短いものより価値がある。仕事の大半はここにある。
サイトごとに違うものにする。 他人の流出を火事ではなく小さな事故に変えるのは これだ。アカウントごとに固有なら、一つ漏れても他には及ばない。使い回していれば、 使った覚えすらないサービスがあなたの銀行の安全性を決めることになる。
流出一覧と照合する。 これこそNISTが行った置き換えである。記号を要求する 代わりに、あなたのパスワードがすでに出回っていないかを確かめる。この確認は確かに 期限切れになる——今日一覧にないパスワードが来年は載っているかもしれない——。だから 良い管理ソフトはこれを自分で繰り返し、あなたに知らせる。
できる場所には二要素を。 二要素が入っていれば、盗まれたパスワードは鍵で あることをやめ、半分の鍵になる。
この四つが揃うと、ローテーションが一度もできなかったことができる。理由がある その瞬間にパスワードを変える。理由があると知ることができるからだ。 一覧を見張る 管理ソフトは警報装置である。カレンダーは何も知らせない。ただ過ぎていくだけだ。
会社が九十日ごとに強制してくる場合
よくある。十五年前に書かれ、その後だれも開いていない規程があるからだ。二つ。
一つめ、実務として。変えなければならないなら、本当に変える。まるごと新しい ものを生成して管理ソフトに入れる。季節ごとの変種は、変えないことより悪い唯一の 選択肢だ。何かをやった気にさせてしまうからである。
二つめ、規程を動かせる立場の人へ。論拠を考え出す必要はない。SP 800-63Bに 書いてある。NISTの公式ガイドラインであり、パスワードの定期変更を要求すべきでは なく、侵害の兆候があるときには変更を強制すべきだと明記されている。今日なお 九十日ルールを維持している組織は、それを出した当の機関が何年も前に差し替えた 文書に従っている。
短い答え、もう一度
パスワードはどのくらいで変えるべきか。何かが起きたときに。
そして「何かが起きたとき」は、起きたと知ることができて初めて機能する。だから 長い答えはこうなる。すべてのパスワードを、長く、別々に、見張られた状態にして おくこと。そうすれば、変えるべき日が来たとき、あなたはそれを知り、対象は一つ だけで、二分で終わる。
それ以外は、安心したいがためにカレンダーの升目に印をつけているだけである。
出典：NIST SP 800-63「Electronic Authentication Guideline」（2003年）、構成規則と 定期変更が現れる文書 · NIST SP 800-63B「Digital Identity Guidelines: Authentication and Lifecycle Management」（2017年）：複雑さより長さ、恣意的な定期 変更なし、侵害の兆候があるときの強制変更、流出パスワード一覧との照合 · 2003年の ガイドラインの著者ビル・バーが2017年8月にウォール・ストリート・ジャーナルへ語った 発言。
写真: Hatice Baran · Pexels