パスワードは定期的に変更すべきか？

　パスワードの扱い方を教えるとき、最も基本的な注意事項は以下の４点であろう。

(1)安全なパスワードを使う(長さや字種に配慮する)
(2)同じパスワードを“使いまわし”しない
(3)パスワードは定期的に変更する
(4)パスワードを無闇にメモに残さない

　これらの注意事項は時代とともに変遷していくものであるが、最近(3)が不要であるという意見が出ているらしい。つまり「パスワードを定期的に変更する必要はない」と言うのである。これを聞いて安堵した人は多かろう。もし定期的に変更していたら、それだけ自分に負担が掛かるのだから「楽になって良い」ということであろう。

　しかし私は少し違うと思う。やはり「パスワードは定期的に変更せよ」と言い続けたい。

　パスワードを構成する文字として、英数字だけでも６２文字^(*1)が使えるから、８桁並べれば約218兆通り、１０桁なら約84京通りの表現が考えられる。したがって、いわゆる辞書攻撃をされても簡単には破られないという考え方なのであろう。

【注】(*1)・英字の大文字、小文字の52文字
　　　　　・数字10文字　　計62文字
　　　　　・その他、特殊記号が使える

　理論的にはそうかもしれないが、実際には利用者の多くは小文字の英字と数字だけの短いパスワードで済ませている人が多い。その結果、辞書攻撃で容易に破られてしまう。そこに「変更する必要はない」と言って解読作業に十分な時間を与えてしまったら敵に塩を送るようなものである。各自が実際に定期的に変更するかどうかは別にして、少なくとも「変更せよ」と言い続ける必要があるのではないか。

　定期的に変更しないことを推奨して一体何のメリットがあるのか、私にはまるで理解できないのである。パスワードを守ることの重要性は各人のコンピュータ利用環境によって変わるのだから、まず初心者も含めた一般ユーザーに対して正しいパスワードの扱い方を徹底させ、その上で更に高度なセキュリティーを求められる環境ではどうすべきかを個々に教育するのがよいのではないかと思う。

　沢山の異なるパスワードを抱えて四苦八苦するのは避けたいと思っている人に対し、私はもっと知恵を働かせることを推奨したい。特別に記憶力が良くなくても、ちょっとした工夫だけで多種類のパスワードをメモなしで使いこなせるようになる。その方法^(*2)をここに記す訳にはいかないが。■

【注】(*2)ブラックハットのハッカーに一度狙われたら、先ずもって防ぎきれない。だから「パスワードはこうすべきだ」等と声高に言って目を付けられるのは避けたい。