パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう

これまでは当たり前だったパスワードの複雑さという概念は、もはや過去のものとなりました。

長年にわたり、企業に対して頻繁なパスワードの変更を徹底させ、従業員に英字、数字、記号を含む複雑なパスワードの使用を義務付けるよう求めてきたNIST（米国国立標準技術研究所）ですが、今回、驚くべき新たな指針を発表しました。というのも、これまでの対策はどれも効果がなかったことが判明したからです。

最近で更新されたNISTの推奨事項では、パスワードの長さを15 ～64 文字とするよう求めており、企業に対しては、パスワードの安全性を確保するために、ランダムなパスワード生成ツールやパスワード管理ツールを活用するよう推奨しています。

ITとセキュリティの未来は、自律化にあります。しかし、多くの組織では、どの手作業を簡単に廃止できるのか把握できていません。ここから始めましょう。

この新しい指針は業界の一部を驚かせましたが、NISTのメンバーはここ数年、この方向へと動き出しており、でした。実際、複雑なパスワードの使用を推奨するNISTの「 2003 」論文を執筆した中堅管理職のビル・バー氏は、その助言が誤りであったことを認めています。「自分がやってきたことの多くは、今となっては後悔しています」と、現在は引退しているバー氏は、 2017年に『ウォール・ストリート・ジャーナル』紙の取材に対し語りました。

KnowBe4社の著名な認証専門家であるロジャー・グライムズ氏は、企業がパスワードの複雑性に関するガイドラインを順守してきたとはいえ、特定の方法でパスワードを作成することでハッキングを完全に防げるという証拠は、ほとんど――もしあるとしても――見当たらないと述べています。

「ハッカーは、真にランダムでない限り、18文字の複雑なパスワードでさえも今日では破ることができるのです」と彼は説明しています。「複雑さは安全であるかのような錯覚を与えますが、実際には、予測可能なパターンが生じたり、サイト間でパスワードが再利用されたりすることさえあります。」

この見解は、NISTの新しいガイダンスの核心をなしているようです。同ガイダンスでは、「OfficeLunchOrder2024」のような単純な19文字のパスフレーズの方が、「P@ssw0rd1!」のような複雑な10文字のパスワードよりも安全であるとの見解が示されています。ブルートフォース法では解読に時間がかかるためです。

「非常に複雑なパスワードには、新たな潜在的な脆弱性が生じます。つまり、覚えにくくなる一方で、書き留めたり、安全でない方法で電子的に保存したりする可能性が高くなるのです」と、NISTの提案書には記されています。

パスワードの変更を強制するのはやめてください

NISTが発表した新たな推奨事項の中でも、特に目を引くものの一つは、組織が定期的なパスワード変更を義務付けるのをやめるべきだというものです。長年にわたり、多くのITチームは、パスワード盗難の脅威を最小限に抑えられると考えて、60日または90日ごとのパスワード変更を義務付けてきました。

「非常に複雑なパスワードには、新たな潜在的な脆弱性が生じます。それは、覚えにくいため、紙に書き留めたり、安全でない方法で電子的に保存したりする可能性が高くなるという点です。」
8月にNISTがパスワードに関する新たなガイドラインを発表しました

しかし、NISTは推奨事項を変更するにあたり、パスワードを頻繁に変更することは、問題を解決するよりもむしろ、かえって複雑な問題を引き起こす可能性があることを認めました。時間に追われ、せっかちなユーザーは、古い、脆弱で、簡単に見破られるパターンを繰り返した新しいバージョンを代用して、定期的にパスワードを更新しています。 ――例えば、「 Summer2024 」を「Fall2024」に変えるようなものです。

注目すべきことに、NISTはさらに一歩踏み込み、セキュリティ侵害が発生するまでは、組織がパスワードの再設定を義務付ける必要はないとしています。 NISTは、これにより従業員の認知的負荷が軽減され、IT部門が恣意的なパスワードのリセットではなく、真のセキュリティ上の脅威に注力できるようになると主張しています。そして、これらはいずれも、の従業員体験全体を大幅に向上させるのに大きく寄与しています。。

[関連記事：現代の労働力に向けた従業員エンゲージメント戦略の再考]

グライムズ氏は、その助言は行き過ぎだと考えています。というのも、パスワード自体の脆弱性が情報漏洩につながる可能性があるという事実を無視しているからです。

「ほとんどの人は、自分のパスワードが漏洩していることに気づいていません」と彼は言います。「『パスワードを変更しないでください』と人々に伝えても、何年もの間変更されなければ、1つ以上のパスワードのパターンがこうしたパスワードダンプリストに掲載され、組織を危険にさらすことになってしまいます。」

多要素認証：企業のセキュリティ確保の鍵となるのでしょうか？

NISTは、パスワードに関するガイドラインを改訂したほか、企業のセキュリティにおいて、多要素認証（MFA）の重要性を強調しました。 Unfortunately, while nearly 97% of large organizations enforce password policies, only 38% use MFA enterprise-wide, according to a recent KnowBe4 survey.

「多くの人は、自分のパスワードが漏洩していることに気づいていません。」「[彼らの]パスワードのパターンは、こうしたパスワードダンプリストに掲載されてしまい、組織を危険にさらすことになります。」
著名な真贋鑑定の専門家、ロジャー・グライムズ、 KnowBe4

確かに、そこにはギャップがあると言えます。しかし、MFAを導入している企業においても、その脆弱性は依然として存在している可能性があります。というのも、企業側が気づいていないうちに、その多くがSMSのような時代遅れの手法を採用しているからです。そして、ハッカーたちはこうしたシステムを標的にし、成功率を高めつつあります。彼らが用いている手法の一つに、「（MFA疲労）」があります。これは、ユーザーが多重認証（MFA）の繰り返し要求に圧倒され、苛立ちや習慣から不正なリクエストを承認してしまうというものです。セキュリティ対策が不十分な、企業向けに多要素認証（MFA）サービスを提供している企業をハッキングすることも、その一例です。例えば、今年の初めには、シスコのMFAを扱っていたベンダーが、というソーシャルエンジニアリング攻撃（）によって侵害されました。

のCEOであるアンドルー・シキアー氏は、世界的な業界コンソーシアムであり、世界中のパスワード依存の解消に取り組むFIDOアライアンス（）の代表を務めており、同氏は、より優れた解決策が登場したと述べています。それは、同組織が策定した「 FIDO2」（）フレームワークに基づくパスキーです。

パスキーは、パスワードのような共有秘密情報ではなく、暗号鍵ペアを利用しています。パスワードの場合、ユーザーは（理想的には）ある組織のサーバー上にも保存されているコードを知っており、それを入力することになります。これにより、従来の多要素認証（MFA）手法を突破するために用いられていたような、ブルートフォース攻撃やソーシャルエンジニアリング攻撃に対して、はるかに高い耐性を発揮します。

パスキーは、公開鍵と秘密鍵のペアを使用しており、すべての認証がこれらの鍵間の暗号化された通信を通じて行われるため、フィッシング攻撃を受けることはほぼ不可能です。これにより、攻撃者がユーザーを騙して機密情報を明かさせることを防ぐことができます。このダイアログが表示されるのは、ユーザーが自身のデバイス上でローカル認証を行った後だけです。この認証は通常、そのデバイスのロックを解除する際と同じ簡単な操作――例えば、スマートフォンの生体認証（Face IDなど）やPINコードの使用など――によって行われます。

NISTのガイダンスが、パスワードやパスキー、そして貴組織にとってどのような意味を持つのか

パスキーはついにパスワードに取って代わるのでしょうか？

「パスキーは、今日最も一般的な攻撃ベクトルであるフィッシングやクレデンシャルスタッフィングに対して、より強力な防御手段となるため、企業からの関心が高まっています。」
FIDOアライアンス CEO、アンドルー・シキアル氏

パスワードの最も熱心な支持者の一人であるシキアル氏でさえ、パスワードは企業に深く根付いており、一掃するのは困難だと認めています。それでも、彼は、Apple、Google、Microsoftといった主要なプラットフォームプロバイダーの支援を受けて、パスワード不要のFIDOフレームワークが勢いを増していると指摘しています。同氏によると、現在、世界の主要ウェブサイトの 20％以上がパスキーに対応しており、アマゾンやバンク・オブ・アメリカの何百万人もの顧客が、すでにパスキーを使ってログインしているとのことです。

「パスキーは、現在最も一般的な攻撃ベクトルであるフィッシングやクレデンシャルスタッフィングに対して、より強力な防御策を提供するため、企業からの関心が高まっています」と彼は述べています。

NISTのガイドラインは、あくまで「ガイドライン」に過ぎません。 IT部門は、それらを採用してもよいし、採用しなくても構いません。グライムズ氏は、多くの組織がそもそも以前のガイドラインに従っていなかったと指摘しています。とはいえ、専門家たちは、企業が少なくとも、リスクを軽減し、セキュリティ態勢を強化するためのいくつかのベストプラクティスとともに、新たな推奨事項を検討することを推奨しています。その中には、次のようなものがあります：

1. パスワードの複雑さよりも、長さを重視してください

従業員が覚えやすいパスワードやパスフレーズを義務付けること――ただし、 18 文字以上である必要があります。目標は、「P@ssw0rd!」という表現から脱却することです。そして、「ProjectKiteboard2025」のようなものに向かって。

2。パスワードの強制変更を制限する

具体的なインシデントや情報漏洩が発生していない限り、これまでのように頻繁に従業員にパスワードの変更を強制する必要はありません。グライムズ氏は、NISTの提案があったとしても、セキュリティ侵害が発生していない限り、その必要はないとし、パスワードの変更は年に1回程度義務付けるのが賢明だと述べています。

3。可能な限り、多要素認証（MFA）を必須にしてください

MFAを可能な限り広く導入・徹底してください。特に、機密性の高いアカウントや重要な業務システムについては、その対応を徹底してください。世界最大級の医療決済処理企業の一つであるチェンジ・ヘルスケアは、その教訓を身をもって学びました。 Earlier this year, the UnitedHealth unit, which handles 15 billion medical claims each year, was knocked offline because it wasn’t using MFA. 推定によると、アメリカ人の3分の1 が、その結果としてダークウェブ上で個人情報が流出したとされています。

4。従業員にパスワード管理ツールを提供してください

Shikiarは、すべてのパスワードがフィッシング攻撃の標的になり得ると指摘しています。どんなパスワードでも、ハッキングされる可能性があります。「ですから、もしまだパスワードに頼っているなら、パスワードマネージャーで保護しておくほうがよいでしょう」と彼は言います。彼らも決して間違いを犯さないわけではありません。それらもまた、ハッキングされる可能性があります。しかし、サイトやサービスごとに固有のランダムなパスワードを生成・使用することで、フィッシングの脅威を軽減するのに役立ちます。

「フィッシング対策が施された多要素認証（MFA）が利用できない場合は、MFAをご利用ください。MFAが利用できない場合は、パスワードマネージャーをご利用ください」とグライムズ氏は述べています。「もしほとんどの人がそうすれば、ずっと良い生活を送れるでしょう。」「パスワードマネージャーをご利用でない場合、会社にリスクをもたらしている可能性があります。」

こうした変化を受け入れる組織は、攻撃対象領域を縮小し、チームのセキュリティ対策を簡素化することができます。ある言葉を借りれば、「パスワードはインターネット界のゴキブリのようなもので、なかなか駆除できません。」しかし、「フィッシング攻撃を受けにくい多要素認証（MFA）」やパスキー、パスワードマネージャーといったツールを活用すれば、IT部門は、ユーザーに迷惑をかけたり、自社のスタッフを疲弊させたりすることなく、ようやくこれらのセキュリティ対策を確実に実施できるようになります。