NISTの指針から読み解く「パスワードの新常識」

株式会社エアー　サポート担当

多種多様なサービスが溢れている現在、新しいサービスのアカウント作成は日常的な風景です。しかし、いざパスワードを設定しようとして、次のような壁に突き当たったことはないでしょうか。
「短すぎます」、「名前や誕生日は使用できません」、「英大文字、数字、記号をすべて含めてください」、「使用不能な記号が含まれています」など。
ようやく作成した複雑な文字列を、数ヶ月後には「期限切れ」として変更を求められ、結局はどこかにメモしたり、末尾の数字を1増やすだけで済ませたりしてしまう。こうした「パスワード疲れ」とも言える状況は、多くの人が抱える共通の悩みです。

しかし今、私たちが長年守ってきたこうしたルールは、セキュリティの現場では「むしろ脆弱性を高める」として、世界的な基準が大きく変わっています。

パスワードの「ルール」を決める、NISTという存在

こうした認証ルールの指針を定めているのが、米国国立標準技術研究所（NIST）です。

NISTが発行するガイドライン「NIST SP 800-63B（Digital Identity Guidelines: Authentication and Lifecycle Management）」は、本来は米連邦政府向けのものですが、その合理性と技術的背景の深さから、現在では世界中の企業や政府機関がパスワードポリシーを設計する際の「世界標準」として参照しています。
このNISTが示した近年のアップデートにより、私たちが信じてきた「パスワード神話」は大きく塗り替えられました。

崩れ去った「パスワード神話」

かつて良しとされていた以下のルールは、現在では推奨されていません。

• パスワードは複雑であるほど良い： 記号や数字の混在を強制すると、人間は「P@ssword1!」のような予測しやすいパターンを作りやすく、攻撃者に見破られやすくなります。
• パスワードは定期的に変更するべき： パスワードが漏えいしたなどの理由がない定期変更は、安易な使い回しや単純な連番への変更を誘発し、パスワードの質を低下させます。
• パスワードは8文字あれば十分： コンピュータの計算能力が向上した現代、8文字程度の文字列は短時間で解析されるリスクがあります。
• 「秘密の質問」は設定しよう： SNSの普及により、「ペットの名前」などは攻撃者にとってはパスワード以上に容易に特定できる脆弱な情報となっています。

これからの「正しいパスワードポリシー」

最新の指針では、利便性を損なわずに安全性を高めるため、次のような考え方が主流となっています。

1. 「複雑さ」より「長さ」を重視： 複数の単語を組み合わせた長い「パスフレーズ」が推奨されます。解析の難易度は、文字の組み合わせよりも「長さ」に依存するためです。パスワードのみの認証である場合、最低15文字以上が推奨されています。
2. 定期変更ではなく「侵害時のみ変更」： 流出の兆候がある場合を除き、機械的な定期変更は不要です。パスワードの漏えいは、以下のサイトで確認することができます。
   Have I Been Pwned：https://haveibeenpwned.com/
   なお、Have I Been Pwned は民間のセキュリティ研究者が運営するサービスであり、公式な政府機関のサービスではありませんが、多くの企業やセキュリティベンダーが参照している実績あるデータベースです。

3. 既知の漏えいパスワードを拒否する： ユーザーに複雑さを求める代わりに、システム側で「過去に流出したことのあるパスワード」を登録させない仕組みが重要です。

パスワード単体での認証は「最低レベル」へ

さらに現在、NISTの基準では、パスワードのみによる認証は最も低い保証レベル（AAL1）と位置付けられています。
これに代わって推奨されているのが、生体認証や認証アプリ、そして「パスキー（Passkey）」などを活用した、より強固な多要素認証（AAL2）です。これらはパスワードよりも強固でありながら、ユーザーが複雑な文字列を覚える必要がないという大きなメリットがあります。（さらに強固なAAL3もありますが、一般利用では要件を満たす構成が限られます。）

おわりに：セキュリティを考え直す

かつて住宅の鍵が、ピッキングに弱いピンシリンダー錠からディンプル錠へと進化したように、デジタル世界の「鍵」もまた、進化を続けています。

「ユーザーに無理な努力を強いるルール」で守る時代は終わりました。大切なのは、最新の知見に基づいた「合理的で、かつ実行可能な守り方」を選択することです。自社の運用が古い慣習に縛られたままになっていないか、この機会に一度、フラットな視点で見直してみてはいかがでしょう

参考）National Institute of Standards and Technology「NIST SP 800-63B（Digital Identity Guidelines: Authentication and Lifecycle Management）」https://pages.nist.gov/800-63-3/sp800-63b.html

これまでの不正アクセス、Emotet、情報持ちだしのニュースをチェック「情報漏えいニュース」一覧を見る

これまでの社員コラムをチェックコラム一覧を見る