[ INDEX || PREVIOUS | TOP | NEXT ]
1996 年 8 月 30 日 発行（No. 116）
KEK Computing Newsletter
パスワードの管理について
Choose a secure password for your account
Recently, every one can access computers through the world wide
network: Internet. The security control of our computer system
has become more and more vital to guard our system from the
foreign attackers. A password is a basic and relevant key for
certification of your account. To keep our world wide system
safe, we strongly suggest you to choose a secure password and
control it safely.
近年ネットワークの整備が進み、インターネットを通じて遠隔地からでもコンピュ
ータを利用できるようになりました。これにともなってコンピュータ・システムの
セキュリティがますます重要となってきました。システムやアプリケーション自身
の持つセキュリティに関しては、各メーカや開発元が対応してセキュリティ・ホー
ルのないシステムやアプリケーションの提供をするようにしています。しかしなが
らシステム全体のセキュリティを保つためには、システムを使うユーザがセキュリ
ティを意識してことに対応することが不可欠です。
コンピュータ・システムはパスワードのみで本人かどうかを判定しており、パスワ
ードさえ合っていれば本人であるとして接続を許してしまいます。もしパスワード
が他人にわかると自分になりすまされてファイルを覗かれたり、システム全体に影
響をおよぼす行為を許してしまうことにつながります。システム全体のセキュリテ
ィは最も低いセキュリティ・レベルのところで決まってしまいます。ユーザ自身が
セキュリティ・ホールにならないためには、ユーザ個人個人が自分のパスワードを
正しく管理する必要があります。
そこでパスワードの選び方と管理の仕方についてまとめてみました。これらは一般
的にいわれていることばかりですが、再確認して徹底していただきたいと思います。
パスワードの選び方
==================
良いパスワードは、覚えやすく忘れない、かつ他人に類推されないことが条件とな
ります。良いパスワードを選ぶ場合、悪いパスワードの例を知ることがよいヒント
となると思われます。いくつか例をあげます。
悪いパスワードの例
------------------
・辞書などに掲載されている単語のみのパスワード
辞書の単語に基づいてパスワード破りを行うのはもっとも多く用いられる手
法です。辞書だけでなく印刷物や電子情報として目にするような単語も同様
に使うべきではありません。この種の不適当なパスワードの例としては次の
ようなものがあります。
国語の辞書にある言葉、外国語の辞書にある言葉、地名、固有名詞、よくあ
る人名、有名人の名前、登録商標 など。
・数字だけのパスワード
8 桁の数字の組合わせを尽くすのは最近の高速のコンピュータでは簡単なこ
とです。
・小文字だけのパスワード}
高々 26 の文字の組み合わせです。
・ある単語の綴りを逆順にしたもの
この種のことはコンピュータの得意とするところです。
・ある単語の1文字を置き換えたり、それに1文字を付加したもの
単語の1文字を大文字に置き換えたり、単語の前後に数字を付け加えるなど
はすぐに見破られます。
・自分に関係することがらから類推できるパスワード
自分の名前、配偶者の名前、両親の名前、ペットの名前、子供の名前、親し
い友人や同僚の名前、好きな俳優の名前、上司の名前、自分の電話番号、内
線番号、ポケットベルの番号、ホストの名前、あだ名、誕生日など。
・記憶しにくいパスワード
複雑過ぎて覚えにくく、紙などに記録しておかなければならないようではパ
スワードとして意味をなしません。
良いパスワード選び
------------------
良いパスワードは、上記の悪いパスワードの条件に当てはまらないことが最低限必
要です。良いパスワードを選ぶ工夫の例をいくつかあげます。
・長いパスワードをつける
長さが７、８文字程度のもの。多くのUNIXでは8文字までしか意味を持ちま
せん。DCE では一般的にもっと長いパスワードを選ぶことが可能ですが、共
通計算機ではintegrated login を可能としたためUNIX の制限に従います。
・大文字と小文字の両方を含む
UNIXの場合には大文字と小文字を区別します。
・文字のほかに数字、記号(%, $, &, ...)や空白を含んでいる
アルファベットを数字等に置き換えるのも一つの方法です。例えば、O (ou)
を 0 (zero) に、l(el) を 1(one) に、I (ai) を |(縦棒) に置き換えるな
ど。
・誰かに後ろから覗かれても、覚えられないよう素早くタイプできるもの
・複数の単語を組み合わせる
複数の単語を組み合わせ、単語のつなぎに数字や記号を入れます。
・語呂合わせを使う
例えば、22(fuji)tozan、Ilove298(tsukuba) など。
これらを参考に工夫してみてください。良いパスワードの条件を満たす例を一つあ
げます。ただし、ここに載ってしまったのでもうこれを使ってはいけません。
3taX:da-
覚え方は 「サンタクロース転んだ─」です。
パスワードの管理
================
せっかくの良いパスワードも、他人に知られるところとなってはもともこもありま
せん。パスワードの扱いには次のような注意をして下さい。
・パスワードを他人に教えない。
・パスワードを電子メールなどでやり取りしない。
・複数のホストのアカウントを持っている場合、同じパスワードをつけない。
・パスワードをメモしない。
紙に書いてだれかにみられることがあれば意味をなしません。また、パーソ
ナル・コンピュータのファンクションキーに覚えさせたり、ファイルに書く
のも同様です。
・パスワードを定期的に変更する。
どんなに工夫をこらしてつけられたパスワードも、時間をかければ有限の時
間で破られてしまいます。 良いパスワードを選ぶことは結局はパスワード
を破るのに十分長い時間を有するようなものを選択する工夫に過ぎません。
どのようなパスワード使っているかにもよりますが、少なくとも半年に一度
はパスワードを変更するようにしてください。
・何か不安を感じたらパスワードを変更する。
・人の見ているところでパスワードを入力しない。
指の動きを見るだけでタイプした文字列を一瞬のうちに読み取る人もいます。
データ処理センター
参考文献
--------
Practical UNIX Security
(Simson Garfinkel/Gene Spafford著、O'Reilly & Associates)
UNIX MAGAZINE 1996/6 「モーレツUNIX教室」 p.21 （アスキー）
SUN システム管理 （下山智明、城谷洋司 著、アスキー)
KEK Computing Newsletter の入手方法：
------------------------------------
(1) KEK Computing Newsletter の郵送等による配付を希望する人は、デ
ータ処理センター・事務室（計算機棟107 号室）にお申し出ください。
電子メイル： cc-jimu@kek.jp
電話： 0298-64-5473
FAX： 0298-64-4402
(2) 電子メイルを受け取ることのできる状態の人は、kekcc-newsletter
にsign on （詳細は KEK Computing Newsletter No.51 を参照のこと）
すれば電子メイルでの自動配付を受けることができます。
例：メイルを受け取りたい計算機から、listserv@kekux.kek.jp 宛に、
SUBscribe KEKCC-NEWSLETTER 自分の名前
という内容のメイルを送ります。「自分の名前」は Taro Tsukuba
のように、自分が誰であるかを特定できるように指定してください。
(3) KEKVAX にアカウントを持っている人は、VAXNOTES で見ることができ
ます。
(4) www または anonymous ftp で、参照または入手できます。
http://www.kek.jp/~ccnl/
ftp://ftp.kek.jp/kek/kekcc-newsletter/
(5) バックナンバーを欲しい人は、(1) と同様、事務室にお申し出くださ
い。
データ処理センター