アカウントハックやらアカウントハックやらアカウントハックやらの話が
耳に入ってくるので、自分がIＴ業界のハシクレで仕事をしていて思う、
「こういうパスワードの付け方はアカン！」という点を記事にしてみます。
話題と内容は、結構おかたいかも？ｗ
出来るだけ噛み砕いて書いたつもりですけど、
「この用語意味わからんわ」という点があったらご指摘いただければ幸い。
なお、文字数が短いとか、英字・数字のみとか、記号入ってない、とか
構成的なモノは、今回はスルーします。
ちなみにMK-STYLEでも、
数ヶ月前のアプデだかメンテだかでパスワードポリシーが強化されて、
上記のようなパスワードはそもそも設定できなくなってますね。
「パスワードが短すぎます」とか出るのがソレです。
以下本題。
パスワードを新規設定するとき、
人は「忘れないパスワード」をつけようとします。
パスワードを覚えている、というのは大事です。
毎回パスワードを再設定したり、新規に会員登録しなおすのは手間ですからねー。
ただ そのパスワード文字列が、
「どうして自分にとって忘れないものであるか」というのがポイント。
（１）個人情報に由来する
そもそもパスワード自体のデータベースでの保管方法はどうなっているのか。
まぁ個々の会社で違いますが、よほどセキュリティ認識が乙ってる会社でない限り、
パスワードを平文（文字列そのまま）では保存しません。
平文保存は、言わば「パスワードを書いたメモを机の上に貼っておく」ようなものです。
ではどうするか、と言いますと、
設定されたパスワードに、特定のキーワードを掛け合わせて暗号化する、というのが１つ。
【パスワードを忘れた場合】の手続きをしたら
パスワードリマインダー機能（※）のページに飛び、
最後に「あなたのパスワードは abc123 です」ってメールがきた場合はこのパターンですね。
※予め設定しておいた特定の質問に正しく回答することで、本人確認ができたとするもの。
よくあるのが「母親の旧姓は？」「ペットの名前は？」「出身小学校名は？」とか。
ただこの場合は、キーワードを知った人が、パスワードを複合化する事が可能なのが問題です。
合言葉の「山」に対して「川」と答えて実際の取引相手に成り済ますように、
暗号化パスワードという扉も、鍵さえあれば開けられてしまうってワケ。
こんなページ（茨城県警）
もあったり。
なので「あなたのパスワードは abc123 ですね。」ってメールが来たら
「なぜオマエは私のパスワードを知っているっ！？！」と叫びましょう。
ぶっちゃけこの保管方法は甘いです。
それこそ、悪意ある人がシステム管理者になったら終わりです。
最も有効とされる保存方法は、パスワードをハッシュ化するというもの。
ハッシュ化とは、不可逆的・一方向に文字列を変換する事です。
不可逆ですから、システム管理者にも、元のパスワードは分かりません。
元のパスワードが分からないのに、どうやってパスワードを照合してログインするのか、というと
“データベースに保存されているハッシュ化されたパスワード”と、
“ログインしようとユーザが入力したパスワードをハッシュ化したもの”を比較するってわけ。
【パスワードを忘れた場合】の手続きをしてパスワード再設定のページに飛んだ場合はこのパターンですね。
以上を前提として。
MK-STYLEだけに限らず、大抵の会員登録においては
パスワード以外の設定項目として、氏名や誕生日や電話番号を記入したりします。
これらの情報は、大抵は暗号化されて保存されてはいません。
データベースへのアクセス認証さえ通れば、まぁ見ることは出来るでしょう。
･･･つまり。
いくらパスワードがハッシュ化されていても、名前なり誕生日などの情報から
「tanaka」とか「0214」とか「tanaka0214」という文字列を、パスワードを推察できるのです。
掲示板などでアカウントを知って、
本人と親しくなって個人情報を聞き出せば、
別にデータベースを覗く必要もなくパスワードを推察できますね。
（２）文字列が汎用的であるもの
分かり易い例で言うなら「abcdefghi」です。
ちょっとヒネってみるなら「asdfghjkl」です。
もうちょっとヒネってみるなら「qazxswedc」です。
２、３例目で挙げたのは、キーボードのキーを規則的に打ったものです。
一見ランダムな文字列に見えますけど、
「こういう文字列をパスワードにする人がいる」という事を知ったことで
「この人も同様な文字列を使っているかもしれない」という推察が生まれます。
（３）単語
会社でWindowsパスワード不明のパソコンがあって
皆でパスワード破りに挑戦するときに試すような単語。
・password
・Password
・administrator
・Administrator
・Admin
・社名
・社名略称
・社名略称を複数回リピートしたもの
・部店名
・部店名を複数回（ｒｙ
要は、使用されているパソコンの関係性を考えた単語を試していくのです。
（最初のほうは、パソコン自体に関するものだけど）
なので、完美のパスワードに
「mksyle」とか「perfectworld」とか「kanbi」とか使うのは論外です。
余談ですが、英語圏でよくパスワードとして使われるフレーズに「iloveyou」があります。
「これが良く使われてるよ」とニュースにするぐらいの単語を、
そのニュースを見た後も継続利用するってスゴイと思います。
（↑自分だけは大丈夫と思う自信（？）が）
まー、ひとまずはこんなところでしょうか。
会社側の脆弱なユーザ情報管理にも問題はありますし、
そもそもアカウントハックという犯罪をする人が悪いわけですが、
出来るかぎりの自衛はするべきでしょう。
では最後に、自衛という点に話を変えて。
皆さんは、Webサービス毎に固有のパスワードを使用しているでしょうか。
他のサイトでも使ってるパスワードを、使いまわしてはいませんか。
自分はどうなんだ、全Webサイトで異なるパスワードなのか、と言われると
ビミョーに目を逸らさざるを得なかったりもしますけどね（＠ｗ＠
「パスワードを第三者に教えない」という規約は、どこのサービスでも同意を求められていると思います。
（規約を読み飛ばして同意ボタンを押してる人もいそうですけど。
規約って、読んでみると面白いですよ。
裁判のときは会社の近くのそれで行うように、とか書かれてたり）
そして、A社のサービスで用いているパスワードをB社でも用いるというのは、
「パスワードを第三者に教えない」という規約違反だったりします。
この点、ユーザー側に規約に違反しているという意識は希薄なのではないでしょうか。
いくらA社が強固なセキュリティシステムを構築していても、
ちゃらんぽらんな管理をしていたB社からパスワードが漏れ、
それでA社のサービスにログインを試行されたらどうしようもありません。
B社のサービスにおいてユーザが被害をこうむるのはB社側の責任ですが、
A社のサービスで受けた被害は、ユーザの自業自得なのです。
最後に音楽を紹介しておしまい。
Christina Aguilera で Fighter です！どうぞ！！
ひとまず。
自分がアカウントハックの犯人だと疑われていた（ってか、現在進行形で疑ってるらしい）事にショックを受けたわけですが、そもそも親しい人をハック犯と疑ってくるような人を選んでた自分自身が虚しいっていうか情けないっていうか＾＾＾＾＾＾ しかも根拠なく、それを周りの人に言うってどうなの。パソコン重いから代わりに動かして、って言われてＩＤとパス教わったけど、あの時「このパスワードじゃ推察され易いから今すぐ変えろ」って言ったよね。本人の頼みなしに、他人のアカウントなんてログインさせる事も良しとしないからその後パスワード変えたのかなんて知る由もないけど。
＞某 これが週頭くらいの溜息の連発の原因／(^o^)＼
＞気付いた方 ビミョーに重いネタ仕込ませててすいまっせん（・ω・｀)