パスワードレスを考えよう（1）

～常識を疑えば"うんざり"はなくなる～

2019年05月09日

さて唐突ですが、パスワードの運用、面倒くさくないですか？

何が面倒かというと。

いまはスマホでアプリの時代ですから、会社のシステムのみならず個人利用のアプリがみんなこんなこと言ってくるのでうんざりですよね。

で、スマホのメモアプリにパスワード羅列してませんか？

まさか全部同じパスワードで運用してないですよね？

いやいや、1つや2つならともかく、10や20のシステムで「複雑なパスワード」＋「定期的なパスワード変更」なんてできません。

人間は弱くて賢い生き物ですから、楽になる道を見つけ出します。それが安全かどうかは別にして。

厳しすぎるルールはかえってセキュリティーホールを生み出すものなのです。

SSOを入れると楽になる

「いくつものシステムやアプリケーションが上記のプロセスを求めてくる」のを解決するために SSO (Single Sign On) という仕組みがあります。

利用者がSSOシステムにログインすると、SSOシステムに紐づいたシステムやアプリケーションには本人認証のプロセスを踏むことなく利用できるようになります。

※実際には裏でそれぞれの本人認証プロセスが走っています。

これにより、利用するシステムがいくつあっても、最初の本人認証プロセス1回だけで後は面倒な操作なく利用できますし、パスワードの変更プロセスもSSOシステムだけで良いというわけです。画期的ですね。

昔からいろいろな仕組みが存在しています。エンタープライズ向けだとHPのIcewallなんて有名です。クラウド連携でいうとOktaがグローバルでNo.1です。

個人利用だと、Facebook ID、Google ID、Yahoo! ID などがあります。

みなさんもこういったIDを使ってさまざまなアプリケーションにログインした経験があるのではないでしょうか。

でも。

「複雑なパスワード」と「定期的なパスワード変更プロセス」は残ります。

残念です。

歴史を紐解くと「パスワードって駄目なんじゃないか」→「パスワードを強固にしよう」という改善（改悪）の潮目は何度も発生してきました。

どんどん複雑で負荷の高いプロセスになり、世の中の怒りが頂点に近づきつつあった2017年、あることが起こりました。

みなさんご存知の通り、こうした改善（改悪）の歴史は2017年8月7日に完全否定されたのです。これらの複雑なルールを2003年に提唱した米国立標準技術研究所（NIST）の元研究者ビル・バー氏が「結果的に間違いだった」と発言し、NISTはガイドを全面改訂しちゃったんですね。

「複雑なパスワード」と「定期的なパスワード変更プロセス」は意味がないのです。

森駿

お客さまの立場で考えた、
最適なソリューションをご提供いたします。
お気軽にお問い合わせください。