「12345」は本当に悪い：パスワードセキュリティの究極のガイド

パスワードを保存して使用する唯一の安全な方法はパスワードマネージャーに依存することであると何度もお勧めしますが、聞いていない人もいます。 パスワードに関するPCMagの調査では、パスワードマネージャーの使用を報告したのはわずか24％でした。 残りは何をしていますか？ パスワードや12345678などの簡単なパスワードを使用していますか？ 1つの複雑なパスワードを記憶し、どこでも使用しますか？ パスワードセキュリティの世話をすることは小さな問題ではありませんが、 7億 7300 万件の ハッキングされた電子メールアドレスを公開した最近のコレクション#1違反で示されているように、膨大なリスク安全。

最高のパスワードマネージャーを使用している場合でも、アカウントの安全性は保証されません。パスワードマネージャーを使用して同じ古い疲れたパスワードを記憶している場合ではありません。 溝に落ちて、新しい強力なパスワードのために悪いパスワードを切り替える必要があります。

上記の調査では、PCMagリーダーの35％が、侵害によって強制されない限り、パスワードを変更しないことが明らかになりました。 一般的に、それはそれほど悪いことではありません。 米国国立標準技術研究所は、90日ごとにパスワードを変更することを推奨しなくなりました。 NISTでは、「Correct-Horse-Battery-Staple」のような長いパスフレーズを使用し、必要な場合にのみ変更することを推奨しています。 しかし、ひどいパスワードを使用している場合、「必要なとき」とは 今すぐ という意味です。

悪いパスワードの原因は何ですか？ ひどいパスワードの属性のいくつかを見てから、正しい方法でパスワードを実行する方法についていくつかの指針を示します。

辞書にとどまらない

数か月ごとに、1つのニュースアウトレットなどが最悪のパスワードのリストを投稿します。 123456や12345678、qwertyなど、入力しやすいオプションがたくさんあります。 簡単ですか？ 承知しました。 しかし、ハッカーが簡単にクラッキングすることもできます。 他の一般的な（および貧弱な）パスワードは、単純な辞書の単語で構成されています。 最悪のパスワードのリストで、野球、猿、スターウォーズを見てきました。 これらも割れやすいです。

一部の安全なWebサイトは、設定された回数の間違ったパスワードの試行後にロックダウンしますが、多くはそうではありません。 悪意のあるロックアウトのない人のために、ハッカーは電子メールアドレスのリストを一般的なパスワードのリストと交差させ、自動プロセスを設定して、侵入するまで組み合わせを試行し続けることができます。

適切に保護されたWebサイトでは、パスワードはどこにも保存されません。 代わりに、一方向暗号化の一種であるハッシュアルゴリズムを介してパスワードを実行します。 同じ入力は常に同じ出力を生成しますが、結果のハッシュから元のパスワードに戻る方法はありません。 入力したパスワードが、保存されている値と同じ値にハッシュされると、アクセスできます。 ハッカーがサイトのユーザーデータを取得しても、パスワードは取得せず、ハッシュのみを取得します。

しかし、スマートハッカーは、サイトが使用しているハッシュ関数を知っていれば、ハッシュされていても弱いパスワードを解読できます。 ハッシュ関数を使用して、一般的なパスワードの巨大な辞書を実行することから始めます。 次に、キャプチャされたデータで結果のハッシュを探します。 各一致はクラックされたパスワードです。 最高のセキュリティを備えたサイトは、ソルティングと呼ばれる手法でハッシュ関数を強化します。これにより、この種のテーブルベースのクラッキングは不可能になりますが、なぜリスクを取るのですか？ 辞書から離れるだけです。

違うと思う

友人から、1qaz2wsx3edc4rfvという完璧なパスワードが教えられました。 彼女は、キーボードの4本の斜めの柱を指で滑らせるだけで「入力」できました。 それはとても完璧で、彼女はどこでもそれを使用しました。 そしてそれは大きな間違いでした。

ある会社やWebサイトでの侵害のニュースがなくても、1週間はほとんど経過せず、数千または数百万のユーザー名とパスワードが公開されます。 賢い被害者はすぐにパスワードを変更します。 問題を無視する人は、ハッカーがパスワードをリセットした後に自分のアカウントからロックアウトされることに気付くかもしれません。

これらのハッカーは、あまりにも多くの人がパスワードをリサイクルしていることを知っています。 有効なユーザー名とパスワードのペアを見つけたら、他のサイトで同じ資格情報を試します。 クラブペンギンアカウントへのアクセスを失うことをそれほど心配することはないかもしれませんが、銀行のWebサイトで同じログインを使用した場合、大きなトラブルが発生します。

悪くなる。 他の誰かがあなたのメールアカウントを制御できるようになった場合、彼らは最初にパスワードを変更してあなたをロックアウトできます。 その後、パスワードリセットリンクをそのアカウントにメールで送信することにより、他のアカウントに侵入することができます。 まだ心配？

個人的になるな

パスワードの基礎として個人情報を使用することは非常に魅力的ですが、それは悪い考えです。 ハッカーがブルートフォース攻撃に使用する辞書に犬の名前が表示される可能性は十分です。 家族のイニシャルや誕生日などのその他の可能性は、おそらく総当たり攻撃に該当しませんが、誰かが具体的にアカウントをハッキングしたい場合、その個人データは試行錯誤の推測攻撃を助長する可能性があります。

あなたの個人情報は非公開だと思い込まないでください。 住所、生年月日、配偶者の有無など、だれかの詳細を検索するために使用できるサイトは多数あります。 ソーシャルメディアの投稿は、特にアカウントを適切に保護していない場合は、個人情報の別のソースになる可能性があります。 意欲的なハッカー（またはおせっかいな隣人）は、おそらく自分のデータに基づいて作成したパスワードを推測できます。

バックドアを閉じる

パスワードマネージャーを使用していない場合は、サイトのパスワードを忘れてしまったことは確かです。 それはあまりにも一般的であるため、事実上すべてのログインページに「パスワードをお忘れですか？」が含まれています。 リンク。 一部のサイトはメールアドレスへのリセットリンクを送信しますが、他のサイトではセキュリティの質問に答えた後にパスワードをリセットできます。 そして、それはあなたのアカウントをハックしたい人にバックドアを開きます。

ほとんどのサイトは、セキュリティの質問に対してひどいオプションを提供しています。 あなたの母親の旧姓は何ですか？ 高校はどこに行きましたか？ あなたの最初の仕事は何でしたか？ 前述のように、あなたの個人的な生活は、インターネット検索のスキルを持っている人にとって開かれた本です。 可能な場合は、事前設定された質問を無視してください。 いつも覚えているが、他の誰も推測できないユニークな答えを使って、独自の質問を作成します。

サイトがあなた自身の質問を定義させないとき、それはより困難です。 その場合、あなたの最善の策は、完全に嘘である記憶に残る答えを使用することです。 母の旧姓はオバマです。 私は共産主義のMar教者高の学校に行きました。 最初の仕事では、私はライオンテイマーでした。 どちらの嘘を選んだか忘れてしまう可能性があるため、リスクの要素があります。 パスワードマネージャーにこれらの奇妙な答えを安全なメモとして保存することをお勧めします。しかし、パスワードマネージャーを使用している場合は、パスワードを覚えているでしょう。

気になったら今すべきこと

個人情報からパスワードを作成するのと同じように、一般的なパスワードを使用するのは腐った考えであると納得していただければ幸いです。 そして、最も強力でランダムなパスワードでさえ、それをあちこちで使用する場合には責任を負います。 あなたが行動を起こす準備ができているなら、ここにいくつかの出発点があります：

• パスワードマネージャーを使用します。
• より良いパスワードマネージャーに切り替えます。
• パスワードマネージャーの非常に安全なマスターパスワードを忘れないでください。
• ランダムパスワードジェネレーターを利用して、古い不正なパスワードをアップグレードします。
• Excelで独自のランダムパスワードジェネレーターを作成することもできます。
• 利用可能な場合はいつでも、二要素認証を有効にします。

セキュリティで保護されたサイトがセキュリティの面倒を見ていない場合でも、データ侵害に対してそのサイトの資格情報を失う可能性がありますが、すべてのパスワードを長く強力で一意にすることで、オンラインアカウントを保護するためにできる限りのことを行いました。

そしてねえ！ セキュリティの観点からロールバックしているので、仮想プライベートネットワーク（VPN）の追加を検討してください。 安全なサイトに強力なパスワードを使用すると、他人があなたのアカウントに侵入することはできません。 VPNを追加すると、これらの安全なサイトへの接続を傍受できる可能性がなくなります。