http://www.asyura2.com/09/news8/msg/952.html
| Tweet |
かなり面白い記事です。しかし、さすがにアメリカの記事で、どうも大規模な世論操作を意図していう様子です。なぜなら、そもそもコンピュータシステムが乗っ取られていれば暗号システムそのものの意味がないことに触れていません。パスワードであろうと、生体認証であろうと、システムそのもののコントロールが乗っ取られているという例が現実には多いはずです。なぜなら、パソコンのＯＳがウィンドウズ一色になっていること、パソコンのＣＰＵがインテルばかりになっていることなどがあるからです。更に、この記事ではガキを侮るなと若いハッカーがパスワード解析をやっていると書いています。一部にそういった連中がいるのかもしれませんが、現実には振り込め詐欺で若い人たちが受け子として利用されているのと同じことが起こっているはずです。
それにしてもアメリカのウソは大規模でかつ悪質。
世界各国はＯＳの標準化とソースコードの完全公開をするべきです。未だにウィンドウズはソースコードの中枢部は秘密のままで、一般公開はしていません。
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
http://sankei.jp.msn.com/wired/news/130713/wir13071321570000-n1.htm
あなたのパスワード、バレてます ハック、漏洩のプロセスと対処法
2013.7.13 21:55 （1/6ページ）［ネット犯罪］
パスワードは、個人情報を守ってくれる砦でも何でもない。いまやどんな人のパスワードも簡単に手に入るようになり、パスワードの時代は終焉を迎えた。US版『WIRED』のシニア・ライターを務める筆者は、Twitterをはじめとする、ありとあらゆるアカウントをハックされ、子どもとの思い出の写真から仕事の記録、信頼から名誉まですべてを失った。わたしたちは、デジタルの世界で自分の身を守れるのか？（本誌『WIRED』VOL.8より転載）
マット・ホーナン−MAT HONAN
US版『WIRED』およびWIRED.comガジェットラボのシニア・ライター。この記事の速報はWIRED.comで大ヒットとなった。
人生を狂わすパスワード
手元の秘密がひとつ暴かれるだけで、あなたの人生は崩壊しかねない。そもそも、その秘密は意外とガードがゆるい。無頓着な人なら6文字、警戒心の強い人なら16文字。その簡単な文字列が、あなたのすべてをあらわにしてしまう。
メール、銀行口座、住所にクレジットカードの番号から、子どもたちの写真、いまこの文章を読んでいるあなたの居場所まで、パスワードさえあれば大切な情報は守ることができるとされてきた。しかし、それは迷信、幻想、時代遅れだ。
パスワードがどんなに複雑でも、独特でも、個人情報は守れない。
いまやハッカーがコンピューターシステムに侵入してユーザー名とパスワードの一覧をウェブで公開したり、それを転売したりすることは珍しくない。同じメールアドレスとユーザー名をさまざまなアカウントで使い回すという過ちひとつで、甚大な被害に遭いかねないのだ。クラウドで管理される個人情報が膨大になってきたために、カスタマーサーヴィスの担当をだましてパスワードをリセットすることくらい朝飯前だ。ハッカーは、ひとつのウェブサーヴィスで公開されている個人情報を入手するだけで、別のサーヴィスに侵入できてしまう。
2012年の夏、わたしのデジタルライフは、ほんの1時間でハッカーに崩壊された。自分のパスワードはすべて堅牢だと思っていた。アップルが7文字、Twitterが10文字、Gmailに至っては19文字で、いずれも英数字を組み合わせてあり、なかには記号まで交ぜたものもあった。しかし3つのアカウントがリンクしていたため、ひとつのアカウントに入り込んだハッカーにすべて掌握されてしまった。彼らの目的はわたしのTwitterアカウント、@matを手に入れることだった。3文字のハンドルネームだから価値があると思われてしまったようだ。わたしがTwitterアカウントを取り返すのに時間がかかるよう、彼らはわたしのアップルアカウントを使って、わたしのiPhone、iPad、MacBookのデータをすべて消去した。メールもドキュメントも、1歳半になる娘の写真も1枚残らず。
ハッキングの方法教えます
それ以来、わたしはオンラインセキュリティについて熱心に学び始めたのだが、調べるにつけ恐ろしくなった。あまりに脆弱だとわかったからだ。わたしがあなたのメールアカウントへの侵入を試みるとしよう。例えば、あなたがAOLを使っているとする。AOLのサイトにアクセスし、名前に加え、例えば生まれた都市を入力する。名前や生誕地を調べることなどウェブ検索を使えばたやすいにもかかわらず、たったそれだけの情報でAOLはパスワードをリセットしてくれるので、わたしはあなたとしてログインできるというわけだ。
ログインしてどうするかって？ まず「銀行」というキーワードでメールに検索をかけ、あなたがどの銀行をオンラインで利用しているかを調べる。その銀行のサイトから「パスワードを忘れた場合」というリンクをクリック。パスワードをリセットしてあなたのアカウントに侵入し、支配する。これで、メールだけでなく銀行口座まで掌握したことになる。
その夏、わたしはあらゆるアカウントへの侵入方法を身につけた。外国の怪しげなサイトで4ドルほどの金と、2分ほどの時間を費やせば、わたしでもあなたのクレジットカード番号、電話番号、社会保障番号、住所を調べられる。さらに5分ほどあれば、アマゾン、Hulu、マイクロソフトなどのアカウントへの侵入も可能だ。その後10分で、あなたの電話、ケーブルテレビ、インターネットの回線を乗っ取れる。合計でものの20分もあれば、ペイパルのアカウントまで手に入れられる。
どのサーヴィスにも共通する脆弱性はパスワードだ。パスワードは、まだコンピューターシステム同士がつながっていなかったころの遺物にすぎない。どんなに気をつけようが、文字列が長かろうと不規則だろうと、いまの時代、パスワードでは悪意のあるハッカーからアカウントは守れない。すでにパスワードの時代は終わったのに、わたしたちはそれに気づいてない。
過去の後遺症
初めてパスワードを導入したコンピューターは、おそらくマサチューセッツ工科大学で1961年に開発された互換タイムシェアリングシステム（CTSS）だろう。CTSSでは、1人あたりの利用時間を制限するためにログイン制をとってアクセス権を割り振っていた。しかし、早くも62年に、割り当てられた4時間が短すぎると不満を感じた学生、アラン・シェールがログインシステムを軽々とハックしてみせた。パスワードが記載されたファイルの場所を探し出し、内容をすべてプリントアウトしたのだ。こうして彼は思う存分コンピューターを使えるようになった。
ウェブが発展途上にあった間は守るべきデータが少なかったから、パスワードは極めて有効だった。パスワードを利用する機会も、メールを読みにいくインターネットプロヴァイダー用のほかに、電子商取引サイト用に1つ2つ程度と限られていた。しかも当時ほとんどの個人情報はクラウドではなくローカルにあったため、一個人のアカウントに侵入するメリットはあまりなかった。本気でハックを試みる人たちの標的は、企業の大規模システムだった。
だから特別危機感を抱くこともなく、メールアドレスはユーザー名としてあちこちでログインに使われるようになった。この慣習は個々人が利用するサーヴィスの数が急激に増えてもなお受け継がれ、同じ数だけ弱点も増加したと言える。ウェブメールは、あらゆるクラウドサーヴィスの入り口となり、わたしたちはクラウド上で銀行取引を行い、資産を管理し、税金を支払い、クラウド上に写真や書類などあらゆるデータを保存するようになった。
利便性か、安全性か
大規模なハッキングの数が増えてくるにつれ、わたしたちが「堅牢な」パスワードに心理的に頼るようになったのは興味深い。この考え方は、消費者がウェブサイトにデータを預けるのをためらわないように、企業側が思いついた妥協案だからだ。しかし、そんな付け焼き刃の対応では深刻な事態は食い止められない。
セキュリティを機能させようとすれば、大きく2つのことを犠牲にしなくてはならない。1つは利便性。安全性を高めれば、アクセスするのが苦痛になる。16進数で256文字のパスワードを要求すればデータは守られるかもしれないが、そんなサイトにアクセスしたい人はいないだろう。ユーザーに不便さを強いればセキュリティ効果は上がるが、現実的とは言い難い。
もう1つ犠牲になるのがプライヴァシーだ。データの保護を最優先に考えてシステムを組めば、ユーザーは個人情報をさらけ出さないとシステムを利用できなくなってしまう。自分の寝室に驚異的な安全性を誇る金庫があると想像してほしい。鍵もパスワードも必要ないが、それはセキュリティ技術者が24時間365日見張っていてあなたを目視で確認したときだけ扉を開けてくれるからだ。これもまた、現実的ではない。プライヴァシーを無視すれば完璧なセキュリティ対策ができるかもしれないが、そんなシステムを利用したい人はいない。
ウェブ企業は10年以上にわたってこの2つの犠牲におびえてきた。消費者が会員登録からサーヴィス利用までを簡単かつプライヴェートに行えるサイトにしたいという企業側の思惑は、セキュリティ面を不完全にしてしまう。そこで企業は、「堅牢な」パスワードで対処してもらおうとしたのだ。大文字、小文字、数字を取り交ぜた長い文字列に「！」を付け加えればすべてが解決すると思われた。
しかし、それでは間に合わない状況になって何年も経つ。個人のノートパソコンの処理速度が10年ほど前の最高級ワークステーションよりも速くなって、アルゴリズムがものを言ういま、いくら長いパスワードでも、解読しようと思えばたった数百万回の計算をすればいい。それ以外にも、パスワードを盗み取ったりハッカーに横流ししたりする新しい手口が出てきており、その前では長くて複雑なパスワードも意味をなさない。2011年、米国におけるデータ盗難は67％も増加し、その代償は高額だ。11年にプレイステーション用アカウントのデータベースがハッキングされた際、ソニーはネットワークを再構築してユーザーの個人情報を脅威から守るため1億7,100万ドルを支払うはめになった。機会損失を含めた費用を考えれば、たった1件のハッキングが10億ドル単位の被害をもたらすことになる。
流出してしまったマット・ホーナンのパスワードと、ハッキングされてしまったパスワード群。あなたのパスワードはないだろうか?
あなたはやってない？ パスワードの使い回し
パスワードが効力を失う機会は無限にある。推測される、不当に転売されたところから拾われる、ありうるパターンをすべて試され強奪される、キーロガーに盗まれる、カスタマーサポートセンターをだましてリセットされてしまう、などなど。
まず、「推測する」という最も簡単なハッキング手法について考えてみると、人の不注意さほど重大なセキュリティリスクはないことがわかる。セキュリティコンサルタントのマーク・バーネットが、ハッカーの手でネット上に流出したパスワードやGoogle検索にひっかかるパスワード1万種類をリストにしてみたところ、いちばん安易なパスワードは「password」だった。次いで数字の「123456」。こんなパスワードを使っているなら、あなたのアカウントに侵入することなど造作もない。
驚くべきは、ありがちなパスワードを個人が使っていることではなく、企業でもそれを容認しているところがあるということだ。パスワードそのものをセキュリティの手段から外さないかぎり、わたしたちは悪い習慣から脱することはできない。
もうひとつ犯しがちな過ちは、パスワードの使い回しだ。ここ2年だけで、2億8,000万ものハッシュ、つまり暗号化されているがあとは盗むばかりになっているパスワードがオンライン上に公開されている。リンクトイン、ヤフー、Gawker、eHarmonyの各社がセキュリティを破られ、何百万人分ものユーザー名とパスワードを盗まれたうえ、ウェブで公開された。公開されてしまったリストのうち2つを比べてみたところ、ユーザー名とパスワードを当該2サイトで使い回している人は49％に上ることがわかった。
「パスワードの使い回しは命取りになります」とグーグルの認証システムを担当するソフトウェアエンジニアのダイアナ・スメッターズは言う。「いったん漏洩したパスワードは素早く流通してしまうからです」。パスワードのリストをウェブに公開するだけのハッカーはまだましだが、より悪意のあるハッカーは盗んだパスワードを裏社会で売りに出す。あなたのアカウントはすでに脅威に晒されているかもしれない。しかもそのアカウントか、同じパスワードを使用している別のアカウントが破壊されないかぎり、それに気づけない。
詐欺をはたらいてパスワードを盗むハッカーもいる。よく知られているのは「フィッシング」で、有名サイトに似せたサイトに誘導してログイン情報を盗む手口だ。
さらに悪質なのは、マルウェアを使った手口だ。マルウェアとは、コンピューターに密かに入り込んでデータを外部の他者に送るプログラムだ。ヴェライゾンの報告によると、2011年に起きたデータ盗難のうち69％がマルウェアを使った手口だったという。マルウェアはウインドウズ端末で流行しており、最近ではアンドロイド端末での被害も多い。マルウェアの多くはキーロガーなどのスパイウェアをインストールさせ、あなたのタイピングや閲覧履歴を盗み見る。攻撃対象として選ばれがちなのは大規模な組織で、ハックの目的はパスワードをちまちま盗み取ることではなくシステム全体の掌握だ。
弱点は人間の記憶力
ありきたりなパスワードを避け、使い回しを禁止する。パスワードを尋ねてくるサイトのURLをよく確認してフィッシング詐欺に引っかからないように教育する。マルウェアがインストールされないようにウイルス対策ソフトを導入する。パスワードに関してここまで徹底できれば、システムを脅威から守れるかもしれない。
それでも、人間の記憶力が最大の弱点として残る。パスワードは、破られたり推測されたりしないように複雑なものがいい。従って効果的なパスワードほど、常識を無視して紙に書きでもしないかぎり忘れてしまう。それゆえ、パスワードを使うシステムにはアカウントリセット機能が備えられるべきだ。安全性やプライヴァシー保護と利便性は相反する関係にあるので、パスワードを再設定する手続きはあまり煩雑にできない。これこそが、人の心理や行動の隙をついて個人情報を盗むソーシャルエンジニアリングによって、アカウントが乗っ取られやすい原因だ。米国政府関係機関の調査によると、「ソーシャリング」を通したハッキング件数は7％程度だが、盗まれたデータの量は全被害の37％にもなる。昨夏わたしもソーシャリングでアップルIDを盗まれた。ハッカーは、わたしの住所とクレジットカード番号の下4桁をアップル側に告げて、パスワードをリセットさせた。わたしがアップルのメール受信箱をGmailのバックアップ用に使っていたために、ハッカーはGmailのパスワードもリセットでき、8年分はあろうかというメールやドキュメントのすべてを消去できた。さらにTwitterでわたしを装い、人種差別および同性愛差別発言をした。
わたしの体験談が世間の注目を集めたのち、アップルは運営方針を変え、電話でのパスワードリセットを一時的に停止している。ただ、オンラインでのリセットはできてしまう。そうしているうちに、『ニューヨーク・タイムズ』のテクノロジーコラムニスト、デイヴィッド・ポーグもハッキングに遭った。ハッカーは、秘密の質問に答えてパスワードをリセットしたのだという。
すでにあなたも手口は理解してくれていることだろう。ログイン情報をリセットするには、秘密の質問に答えなければならず、その答えは本人しか知らないことになっている。ポーグがアップルID用に選んだ質問は、（1）最初に乗ったクルマは？ （2）お気に入りのクルマのモデルは？ （3）2000年1月1日どこにいた？ の3つだった。1つ目と2つ目の答えはネット検索で得られる。ポーグは、最初に乗ったクルマはカローラだと記したことがあり、最近はトヨタのプリウスを褒め称えていた。ハッカーは、最後の質問には当てずっぽうで答えたらしい。世間のご多分に漏れず、ポーグは新しいミレニアムの始まりを「パーティ」で迎えていたそうだ。
こうしてハッカーは侵入した。人気マジシャンのデイヴィッド・ブレインを含むポーグのアドレス帳を探り、iMacにログインできないようにした。
それでもまだあなたは、自分には起こりえないことだと思うかもしれない。ポーグはネットの有名人だし、大手メディアに記事をたくさんアップしているから思考も読まれやすいのだ、と。それでは、あなたのLinkedIn、Facebookページについて考えたことがあるだろうか。あなたの子ども、友人、家族のページはどうだろう。秘密の質問がログイン情報リセットの唯一の手段であることは多く、ウェブに実名を晒しているなら、その答えも探り当てられる。あなたの母の旧姓はAncestry.comで、高校のマスコットはClassmatesで、誕生日や親友の名前はFacebookで、いずれも少し手間はかかるかもしれないがわかってしまう。
ティーンエイジャーを侮るな
パスワードの最大の問題は、一点突破されると複数の攻撃可能箇所を晒してしまうということだ。携帯端末からでもログインできるほど覚えやすく、サイトごとに賢く使い分けられるパスワード、リセット方法も簡単で、かつハッキングされにくい……そんなシステムは実現不可能だ。それでもいまのところ、オンラインバンキングに至るまでパスワードに頼らざるをえない。
攻撃してくるのは何者なのだろうか。ハッカーといえば国際的組織か、暇をもてあましたティーンエイジャーの2通りに分かれるが、いずれも同じくらい恐ろしい。
効率よく大規模に攻めてくるという意味で国際的ハッカー集団は恐るべき存在だ。かつてマルウェアやコンピューターウイルスは、趣味が高じたハッカーが自分の腕を証明するためにつくっていたが、2000年代半ばからは組織犯罪へと変化していった。いまやウイルス制作者は、ボストンの学生寮に住む名もない少年などではなく、例えば旧ソ連から生じたプロの犯罪組織の一員であることが多い。目的は金だ。
11年のサイバー犯罪のうち、ロシア語を話すハッカーが起こしたものだけで45億ドルの被害を招いたという事実を見ても、手口が組織化、産業化しているのは明らかで、場合によっては暴力的なのもうなずける。しかもターゲットは一般企業や金融機関だけでなく、個人にまで広がっている。
イノヴェイティヴなティーンエイジャーのハッカーもまた危険だ。ポーグを攻撃したハッカーグループとわたしを攻撃したグループには、共通のメンバーがいた。「ディクテート」というハンドルネームをもつ14歳の少年だ。彼はいわゆるハッカーではない。ただ企業の担当者と電話かチャットをしてパスワードリセットを依頼するだけだ。しかし侮ってはいけない。まず、彼と同じような少年らが、SpokeoやWhitePages.comといったサイトから名前、メールアドレス、住所などあなたに関して公になっている情報を集める。それを使ってディクテートが、Huluやネットフリックスなど、請求先住所とクレジットカードの下4桁を見られるアカウントのパスワードをリセットする。カードの下4桁を手に入れたらAOLやマイクロソフトのサーヴィスにも侵入できる。ディクテートが忍耐強くあれこれ試しているうちに、わたしの被害と同様、ほどなくしてあなたのメール、写真、ドキュメントが彼の手に落ちるというわけだ。
ディクテートのような少年らは、ほとんどの場合が暇つぶしの愉快犯で、乗っ取ったアカウントから人種差別的発言や攻撃的なメッセージを発信してはもち主を怒らせることに、喜びを感じる。ディクテートいわく、「人種問題を選ぶのは、人々の反応が面白いからだ。ハッキング自体は注目を集めない。ぼくたちが@jennarose3xo（2010年に出演動画が不評すぎて話題になったジェンナ・ローズというティーン歌手のTwitterアカウント）を乗っ取ったときも、乗っ取ってやったとツイートしても誰からも反応がなかった。黒人数人の映っている動画をアップして映っている本人のふりをしたら、世間が反応したよ」。反社会的なことをしたほうがウケるのだ。
こういった少年らの多くが、Xboxハッキング界の出身だ。そこではネットワーク化されたゲーマーたちが欲しいものを手に入れるための裏技を競い合っている。とりわけ「OG（オリジナル・ゲーマー）タグ」と呼ばれるゲーム上のハンドルネームのようなものを最初に取得した人から奪い合うなかで、盗みのテクニックを磨いていく。そこから出てきたひとりが「コスモ」で、いまアマゾンやペイパルへのハッキングでよく使われるソーシャリングの手法をいくつも発見してきた少年だ（数カ月前に南カリフォルニアにあるコスモの祖母宅で彼に会ったとき、「ただ思いつくのさ」と誇らしげに言っていた）。12年の初めごろ、コスモを中心としたグループ「UGNazi」が、ナスダックやCIA、画像掲示板の4chanなどさまざまなサイトを乗っ取ったうえ、マイケル・ブルームバーグやバラク・オバマ、オプラ・ウィンフリーらの個人情報を入手した。6月にFBIがやっとのことで容疑者を逮捕したところ、彼はたった15歳。逮捕の数カ月後にわたしも会ったが、当時まだ運転もできない若さだった。パスワードを用いるシステムは救いようがないと言ったのは、まさにディクテートやコスモのような少年たちが執拗にハッキングに専念するからだ。彼ら全員を逮捕することはできないし、できたとしても新たな犯罪者候補が次々育ってくる。このジレンマを言い換えるなら、65歳のユーザーが使えるようなパスワードリセットシステムは、たちまち14歳のハッカーの手に落ちるということだ。
マシュー・プリンスは、グーグルの2段階認証を用いていたが、携帯電話アカウントからパスワードをリセットされてしまい、結局ハッキングされてしまった。
じゃあ、どうすればいいの？
同じ理由で、パスワードの代替手段の多くも脆いものだ。例えば昨春、セキュリティ会社のRSAがハックされ、SecurID認証トークン（固定のパスワード以外にワンタイムパスワードを発行するハッカー対策デヴァイス）のデータが盗まれた。RSAは何が盗まれたか公開していないが、トークンが発生させる数字を複製するのに十分なデータがハッカーの手に渡ったとされている。もしトークンを使用するデヴァイスのIDもハッカーに知られてしまったなら、米国の業界でも最強と言われたシステムが乗っ取られてしまう。
消費者の間では、Gmailの2段階認証が目覚ましい効果を上げていると言われている。仕組みとしては、まずグーグルに携帯電話番号を登録しておき、未知のIPアドレスからログインがあった場合は毎回グーグルから携帯電話に認証コードが送られてきて2段階目の認証を行うというものだ。これでアカウントの防御は間違いなく高まるので、Gmailユーザーならいますぐ設定すべきだ。それでは、2段階認証があればパスワードの陳腐化は防げるのだろうか。マシュー・プリンスの例を見てみよう。
昨夏UGNaziは、ウェブパフォーマンスとセキュリティの会社CloudFlareのCEOであるマシュー・プリンスを標的に定めた。目的はGoogle Appsアカウントへの侵入だったが、プリンスは2段階認証を設定していた。そこでハッカーはプリンスのAT&T携帯電話アカウントを攻撃した。ふたを開けてみると、AT&Tが電話問い合わせ時のパスワードに社会保障番号を採用していることがわかった。社会保障番号の9桁全部もしくは下4桁と、名前、電話番号、請求先住所を告げれば、誰でも転送先の番号を追加できてしまうシステムだったのだ。しかも社会保障番号は、びっくりするほど完璧なデータベースのかたちでネット上で堂々と売られており、容易に入手できる。
プリンスにハッキングを仕掛けた犯人らは、社会保障番号を使ってAT&Tのアカウントに転送先番号を追加してから、グーグルにパスワードリセットをかけたので、自動返答が犯人のもとに転送されたというわけだ。一丁上がり！ こうしてアカウントはハッカーの手に入る。2段階認証があっても、ハッキングに少し手間がかかるだけだ。こんな時代遅れのシステムに依存していれば、時が経つにつれさらに多くの社会保障番号やログイン情報が流通して個人情報が晒され、ハッキングも簡単になっていく。
アイデンティティ・エコシステム
わたしたちが気づいていないだけで、パスワードの時代はもう終わりだ。しかも、パスワードに代わる仕組みの構想はまだない。確実に言えるのは、パスワードがいくつあっても、秘密の質問がいくつ設定してあっても、そんな「秘密」でデータは守れない。ネット上に秘密などない。どんな情報も、数回のクリックで誰の手にも渡ってしまう。
新しいアカウントシステムを構築するなら、単純な情報入力に頼らず、わたしたちが何者で、何を生業とし、いつどこへ行き、何を所有し、どんな行動をとるかといった情報をいくつも組み合わせた認証を導入すべきだ。
情報入力に頼らないことは特に重要だ。その点グーグルの2段階認証は優れているが、グーグルの洞察が足りないところも実はある。2段階は最小単位にすぎない。例えば道で人を見かけて友人かもしれないと思ったとき、IDを見せてくださいとは言わないだろう。むしろ、さまざまな情報を総合して判断する。髪型がいつもと違うが、ジャケットはいつものものだろうか。声は一致するか。そもそもここは彼がいそうな場所か。いろいろと照合していってどうもおかしいと思えば、いくらIDを見せられても信じないだろうし、IDの写真が目の前の人物と同じに見えても偽造かもしれないと疑うだろう。
未来の認証システムも、つまりそういうことではないか。いまと同様にパスワードもIDも組み込まれるかもしれないが、パスワードに完全依存したシステムではなく、写真付きIDに頼るものでもなくなるはずだ。パスワードは多面的な認証の一面にすぎなくなるはすだ。このようなシステムを、米国商務省のジェレミー・グラントはアイデンティティ・エコシステムと呼ぶ。
では、生体認証はどうだろう。数々の映画に描かれてきたように、指紋や虹彩による1段階で簡単な認証がパスワードに取って代わると思うかもしれない。しかし指紋や虹彩による認証は2つの問題をはらんでいる。1つは、新しい技術の導入をしばしば阻む、卵とニワトリ、どちらが先かという問題で、すなわちそれらを実現するインフラが存在しないということだ。指紋や虹彩を読み取る機械は高価かつ未成熟なため使う人が少なく、使う人が少ないがゆえに廉価な改良版が出回らない。
2つ目の問題はより深刻で、1段階認証システムの最大の弱点とも言える。スキャンされた指紋や虹彩はデータ化されるため、盗まれる可能性があるということだ。グーグルのセキュリティチームでソフトウェアエンジニアをしているダーク・バルファンツは、パスコードや鍵が変更可能であるのに対し、生体情報は永遠に変わらない点を指摘する。「指紋を盗まれちゃったら新しい指を手に入れるのは難しいよ」と彼は冗談を飛ばす。映画のなかでは虹彩スキャンもカッコよく見えるが、高解像度の写真が手に入る今日、顔や目や指紋を1段階認証に使うということは、それらの写真を手に入れられれば誰でも認証をくぐり抜けてしまうということだ。
意地悪に聞こえるかもしれないが、そうではない。ハッキングで名をはせ、5年服役したこともある伝説のソーシャルエンジニア、ケヴィン・ミトニックは、システムをハックしてもち主にその方法を知らせるというビジネスモデルでセキュリティ会社を経営している。最近、声紋認証を取り入れていたクライアントと仕事をしたという。その会社のシステムにログインするにはランダムに発生する数字を発音して、その並び順と話者の声の両方が一致しないといけなかった。そこでミトニックはクライアントに電話をかけて会話を録音しながら、話のなかで0から9までの数字を言わせるよう仕組んだ。そして音声ファイルを分解し、指定された数字を並び順通り再生したら……あっという間に侵入完了だ。
生体認証が将来的にセキュリティシステムに使われないと言うつもりはまったくない。将来、デヴァイスは生体認証なしには使えなくなるかもしれない（アンドロイド端末にはすでに導入され始めており、アップルが携帯向け生体認証の会社オーセンテックを買収したところを見るとiOSにも搭載される日は近いだろう）。そうすれば、まずデヴァイスがあなたの身元を証明してくれる。そして、あなたがアクセスしたいPCやウェブサイトは、特定のデヴァイスを認証する。これであなたが何者か、何を持っているかの2点を証明できる。それでも、もし予期せぬ場所からオンラインバンキングにアクセスしようとすれば、手順は複雑になるかもしれない。声紋認証をするとか、スマートフォンのカメラで自分を撮影して友人に送信し、そのうちの誰かがあなただと確認してくれないとログインできないといったように。
顧客のデータを保持する企業は、クレジットカード会社の個人情報取り扱いに学ぶべきだ。カード会社は、消費者の行動パターンを監視して変則的な出来事を見つけ出し、不正アクセスの疑いがあれば処理を停止する。「あちこちでリスク分析がなされるでしょう」とグラントは言う。「データを保有する企業には、ユーザーのログイン場所やOSなども通知されるようになるでしょう」。
グーグルはすでにこの方向に向かっており、場所、デヴァイス、その他の項目について、前回のログイン時と何が違うか、毎回ログインを監視している。不審な点があれば、ユーザーがアカウントに設定した質問に答えさせる。「もし質問に答えられなければ乗っ取られている可能性もあるので、警告メールを送信してパスワードの変更を促します」と認証システムを担当するスメッターズは言う。
未来のパスワードはあなた自身
もうひとつ、未来の認証システムについて確実に言えるのは、利便性とプライヴァシーはあきらめざるをえないということだ。多段階の認証システムを採用すると、自分のアカウントにアクセスするだけのために何重もの扉をくぐらなくてはいけないので、不便を覚えるのは間違いない。しかしそれ以上にプライヴァシーを大幅に犠牲にしなければならない。あなたの居場所から習慣、しゃべり癖、ついにはDNAといった情報まで、セキュリティシステムに要求されることになるだろう。
それでもわたしたちは決断しなければならないし、いずれ決断するだろう。この状況から前進するには、真の個人認証を導入するしかない。それはわたしたちの一挙手一投足や生体情報をあらゆる手段で追跡させ、その情報とわたしたちのアイデンティティを結びつけるようなものになる。わたしたちがクラウド化をやめて写真やメールをハードディスクに戻すことはもうないだろう。クラウドはいまやわたしたちの生活そのものだ。そうであればむしろ、人となりや会話の相手、行き先や行動、所持品や格好、声やトーン、さらには思考など、クラウドにあるわたしたちの情報を活用するようなシステムが必要だ。
このような変化を起こすには少なからぬ投資と不便を伴うし、個人情報保護を唱える人は大いに警戒するだろう。気味悪がる人もいるかもしれない。しかし、無秩序と盗みをはびこらせていいのだろうか。こうしている間にも世界のどこかで被害にあって嘆いている人がたくさんいるかもしれない。時代は移り変わったのに、わたしたちはもてるすべてを欠陥のあるシステムに任せている。まずはその事実を知ること。それから現状を打開することだ。
スパムメールの中から見つけ出すためにメールのタイトルには必ず「阿修羅さんへ」と記述してください。すべてのページの引用、転載、リンクを許可します。確認メールは不要です。引用元リンクを表示してください。