JAL「不正アクセスされたけどパスワードは数字6桁で十分」

JALマイレージバンクの不正ログイン＆マイル盗難事件で、日本航空の広報担当が発表したパスワード強度の考え方がネット界隈で騒がれています。

ITmediaのニュースで以下のように報じられています。

『日本航空は2月3日、「JALマイレージバンク」のWebサイトに不正ログインがあり、一部ユーザーのマイレージが第三者によって引き落とされ、Amazonポイントに交換されていた可能性があると発表した。
(中略)
同社はメールとWebサイトを通じ、全ユーザー2700万人にパスワードの変更を依頼。JALマイレージバンクのパスワードは数字6ケタだが、数字だけのパスワードが脆弱という認識は「ない」（同社広報部）としており、ケタ数を増やしたりアルファベットを加えるなどの強化策は「検討していない」という。』
(「JALマイレージバンク」に不正ログイン、マイル盗む 数字のみパスワードの強化策は「検討していない」)
→ http://www.itmedia.co.jp/news/articles/1402/04/news075.html

私もJALマイレージバンクを利用していますが、以前からパスワードの桁数が６桁短く、しかも数字しか使えないことに不満を抱えていました。その理由は次の２点です。

【１】パスワードの複雑度が低くて安心できない

多くの人がこの点に難色を示しているものと思います。パスワードがシンプルであれば「覚える文字が少なくて済む」という利点がありますが、裏を返すと、「他人から推測されやすい(クラッキングされやすい)」ということでもあります。

「数字、文字、記号で構成された長いパスワードを使用しましょう」

これはGoogleのガイドラインに示されているパスワード作成の注意事項です。皆さんの中には「それくらい当たり前」と考えている人も多いでしょう。ネット上のウェブサービスの中には、大文字・小文字・数字・記号から３種類以上を組み合わせたパスワードを作成するよう要求されることもざらにあります。

たとえば、パスワードの長さと解読時間の関係性を示した英国のレポートがあり、これによると、数字６桁のパスワードは15年前のパソコンを使っても、たった５分で解読できると述べられています。

(パスワードの長さと解読時間の関係性)
→ http://it-ura.seesaa.net/article/386979486.html

このようなトレンドの中で、いまだに６桁でしかも数字のみ入力可能であるというJALマイレージバンクのパスワードポリシーに不安を覚えるユーザーも多いです。事実、Twitter上ではこのことについて「不正アクセスを受けたのに、パスワードポリシーは数字６桁を維持ってバカすぎる！」との声が数多く挙がっています。

【２】他のウェブサービスのパスワードと兼用できない

さきほどのGoogleのパスワードポリシーには、ひとつひとつのウェブサービスに対して個別にパスワードを用いるべき、とありましたが、おそらく世の中の大半の人はそんな面倒くさいことを避け、いくつかもしくはすべてのサイトで共通のパスワードを利用しているのではないでしょうか。

これについて、セキュリティ専門家の現実的なパスワード運用方法を以下のリンクで示唆していますが、それでも大文字小文字や記号を組み合わせた８文字以上の文字列をベースにすることを推奨しています。

(安全性と使いやすさを兼ね備えたパスワードの作り方)
→ http://it-ura.seesaa.net/article/386979486.html

しかし、JALマイレージバンクでは数字６桁のパスワードしか許していません。ということは、このサイト用にシンプルで脆弱と考えられるパスワードをわざわざ覚えて運用しなければならないのです。私にとっては、これこそが最大の不満です。

ここまでの流れで、JALマイレージバンクのパスワード管理は大変な脆弱性を孕んでいると懸念を覚えた方はいることでしょう。しかし、これはJALだけの話ではありません。

冒頭のITmediaニュースにある通り、全日空のANAマイレージクラブは数字４桁のパスワード管理に留まっています。日本航空は、パスワード盗難が発生しながらも数字６桁のパスワード管理に脆弱性はないと宣言しています。

それはなぜでしょう。世の中には、数字４桁で運用している金銭に関わるサービスが多数あるので、それと照らし合わせて考えてみます。

たとえば、銀行ATMのログインパスワードは数字４桁ですし、携帯電話のネットワークパスワード(契約内容変更等に使うパスワード)も数字４桁で運営されています。しかし、これらは利用者の手元にキャッシュカードや携帯電話本体といった「認証デバイス」が存在していることを前提とした２重セキュリティになっているため、数字４桁であってもセキュア度合が根本的に異なります。

ではクレジットカードによるオンラインショッピングはどうでしょう。オンラインショップで入力するのは、カード番号と有効期限、それからカード固有のセキュア文字列です。これらの情報さえあれば、実物のクレジットカードを手元に用意する必要はありません。クレジットカード認証は、入力ミスが規定回数に達すると決済をロックするようになっているので、総当たりの入力によるクラッキングを防ぐ仕組みとしています。

この仕組みはJALマイレージバンクやANAマイレージクラブにも採用されています。つまり、ログインを規定回数失敗すると、アカウントをロックするのです。この仕組みがあるから、日本航空の場合、数字６桁でも脆弱性に問題はないと述べているように思えます。

この論理には一定の合理性があります。マイクロソフト社の技術サポートサイトでは、次のような見解が述べられています。

『(前略)オンラインのブルート フォース パスワード攻撃(総当たり攻撃)は何百万もの他のユーザー アカウントのパスワードの組み合わせを実行するのに自動化された方法を使用できます。 実行できる失敗したログオンの回数を制限する場合はこのような攻撃の有効性がほぼなくなることができます。(後略)』
(脅威とその対策: アカウント ポリシー)
→http://technet.microsoft.com/ja-jp/library/hh125920%28v=ws.10%29.aspx

要するに、ログイン回数制限を設けることで、シンプルなパスワードであってもクラッキングされにくくなる、という理屈です。

JALマイレージバンクもANAマイレージクラブも、「�@パスワードの文字数＆文字種類アップさせるシステム改修費用」よりも、パスワードロックルールを設けることで残存する「�A顧客被害時の補償金額」の方が相当小さいと判断したのだと思います。

しかし、前述のクレジットカード業界では、�@よりも�Aの方が相当大きいと判断したため、オンライン認証(クレジットカード固有情報の入力＋クレジットカード会社サイトでの複雑なパスワード認証)の仕組みを導入し始めています。

JALマイレージバンクとANAマイレージクラブのセキュリティ向上が果たされるには、�Aが相当に大きくなる必要があるのでしょうね。

パスワードの長さと解読時間の関係性、実践的なパスワード文字列

私たちがインターネット上で使用するパスワードの強度と設定基準の考え方について、参考になる情報を収集しました。最初に、パスワードがシンプルであるということが具体的にどの程度のクラッキング時間に該当するのかを示し、これを踏まえてGoogleのガイドラインとセキュリティ専門家の見解を後述しています。

【パスワード長と解読時間の関係】
Lockdown.co.ukが2009年に行った試算によると、総当たり攻撃によるパスワードの解読時間は、次のとおりとしている。
http://www.lockdown.co.uk/?pg=combi&s=articles

・8文字の大小英数字および記号を含むパスワード
→高性能パーソナルコンピューターで23年間
→コンピュータ・クラスターで2.25年間
→スーパーコンピューターで83.5日
・8文字の大小英数字を含むパスワード
→高性能パーソナルコンピューターで253日間
→コンピュータ・クラスターで25.25日間
→スーパーコンピューターで60.5時間
・6文字の大小いずれかの英字だけのパスワード
→Pentium 100MHzのPCで5分間〜8.5時間

【Googleのパスワードガイドライン】
・メールやオンライン バンキングなどの重要なアカウントにはすべて固有のパスワードを使用する
・パスワードは簡単に見つからない秘密の場所に保管する
・数字、文字、記号で構成された長いパスワードを使用する
・自分だけが知っている語句を使うようにする

※「My friend Tom sends me a funny email once a day」という文を考案し、その文から数字と文字の配列を作って使います。たとえば「MfTsmafe1ad」

【安全性と使いやすさを兼ね備えたパスワードの作り方】
過去12年に渡り、大企業における盗用や詐欺、組織犯罪、企業スパイといった事例の調査に関わり、監視、コンピューター法科学、倫理的ハッキングなどについての著書もあるセキュリティのエキスパート、Brandon Gregg氏のアドバイスを参考に考察しました。
http://www.lifehacker.jp/2012/10/121019password.html

・「脆弱なパスワード」の3パターンを避ける
→簡単に推測／破ることができるパスワード
→忘れやすいパスワード
→多くのサイトで共通して使っているパスワード
・シンプルな英数字だけではパスワード無の状態とあまり変わりはない
・大文字と小文字、1つ以上の数字や記号を組み合わせた8文字以上のパスワードはまあまあ安全
・1つの複雑な基本パスワード＋サイト別の要素はかなり安全
・2段階認証＋自分すら知らないパスワードは非常に安全

※2要素認証により加えられるセキュリティーのレイヤーを、他者が通り抜けるのはほぼ不可能です。「普通の」パスワードを入力したあとで、さらにGoogleなどのサイト側からユーザーの携帯電話に送られてきたテキストメッセージを使うからです。ハッカーにとって（携帯電話に『FlexiSPY』のようなモニターツールがインストールされていない限り）他人の携帯電話を見るというのは難しいことです。さらにこの方法は、攻撃を受けた際の警告にもなります。もし、午前2時に突然認証コードが携帯電話に送られてきたとしたら、それは以前に付き合っていたガールフレンドが、あなたのアカウントを開こうとしているサインかもしれません。