知らないようで知らない鍵と暗号　その1/2

聞いた話を横流しする人が説明しているのを聞くとトンチンカンなことが多いこの言葉たち。

だって、分野によって方法も違えば対策も違うわけで、一緒くたに説明されてもわからないし、できるはずもない。同じ分野でも使い所で内容が変わってくるからちゃんと理解していない人は説明しないでほしい。サーバーを構築したり関連プログラムを作ったことない人が語っていると心配になる。

そして俺も例にそぐわずパソコン分野上の鍵と暗号のことしか知らないので暗号化された軍事機密の複合方法を知りたい方には参考にならない、あしからず。

まず言いたいのは、なんでもかんでも「パスワードはこまめに変えましょう」っていう風潮はやめてよ、いい加減。これが言いたいがためにこの記事を書いてると言ってもいい。もうブラウザバックしてもらってもいい。

で、なぜ変えなくていいかって？そんなもの簡単、パスワードがバレなければ変える必要はまったくもってない。こんな簡単なことをみんなはなぜ忘れてしまったのか・・・

家の鍵って信用できない人の手にわたらない限り変えないでしょ？パスワードも同じですよ。以下パスワードのことを鍵言葉と表記することにしよう。カタカナにするとすぐに難しく考える日本人のためにもね。キーワードじゃんって直訳の突っ込みはなしでお願い。そうそう、たまにパスワードを合言葉って訳して説明をしている人がいるけれど、パソコン分野では意味が変わってくるからやめて！日本語と英語をお互い安易に訳したらさっぱり意味通じなくなるからね。

もうなんなの？だれが鍵言葉をこまめに変えろとか言い始めたの？よくわかってないお偉いさんが言い始めたの？大きいサイトがしてるから真似してるだけなの？？

ねぇ、大きい有名サイトが不必要なことしていないと思うことがそもそもの間違いだってばよ。鍵言葉変更の強制や変更促しの定期通達を実装している人と、実装をお願いした人は違うですよ。実装をお願いしているのはよくわかっていないお偉いさんとかお客さんですのよ。実装している人は必要ないと思ってても、いちいちお偉いさんにたてついたりお客さんに説明したりとか面倒なことはしないよ。むしろ商売で引き受けたことならお金になるからそのまま引き受けるさね、だいたいの業者は。

ネット銀行（入られる方）が定期変更を促す理由は、実はお客さんを信用していないからなんだよ。「あんたどうせ鍵言葉のずさんな管理してるでしょ？誰かにバレてるかもしれないから定期的にかえなさいよ、ほら」ってね。客の失態でも資産を補償しなければいけない立場として、やんわり伝えているよね。相手のせいで損害被る銀行が言うなら気持ちはわかるね。この理由がまわりにまわってとりあえず変えなきゃ危ないって変な風潮を生み出したのかもしれない。

鍵言葉なんて、自己責任なので羅列と管理に自信があるなら変えなくていい。

ちなみに、不思議かもしれないけどサイト（入られる方）は知らないんだよ、あなたの鍵言葉なんて。あとの暗号の説明でその話するね。お互い知ってる言葉は上でも出てきた合言葉って言うんだ。

なんにしろ鍵言葉の変更は、相手や自分に不備があるから変えるものなので、「変えなきゃ危ないよ？みんな言ってるよ、常識じゃんｗ」とか理解もせずにコピペブロガーやパクツイッタラーが伝言ゲームしてると嫌になるね。

ましてや、サイトがそんなこと言ってて、よくわからない理由を付けているところは技術や知識が足りないんだと残念な気持ちになる。だから恥ずかしいから鍵言葉の変更のお願いなんてサイト側が軽々しく言いださないのって俺は言ってるのよ。

俺はネットにおいて過剰防衛は止めない、むしろ良いこと。過剰防衛と不必要とは違う、鍵言葉の変更は過剰防衛どころか防衛でも何でもなくて不必要の部類。不必要なことをいくつ重ねても変わらない、ゼロに何かけてもゼロだよ。「こまめに鍵言葉変えてます。」とか自信ありげに言ってるセキュリティ自慢は寝てないアピールとおなじくらい笑える。鍵言葉の管理怠ってて不安ですって自分から言っているようなものだよ。変えすぎてネタ無くなったり、強制変更がめんどくさくなって、鍵言葉がだんだん簡単になっていく傾向あるからむしろ危ないんだよね。覚えきれる限界のランダムな文字列を一回暗記してしまえば、そのうち体が覚えてかわいくなってくるよ。

まぁ、サイト毎に覚えるのもつらいだろうから、ベースのランダム文字列をまず覚えて、自分しか知らない法則でサイト毎に変更していくといいよ。ベースがランダム文字列なので人的開錠は防げるし、1文字でも違えば漏れたところで他のサイトで使いまわしはしばらく食い止められるからね。1文字違うのも全文字違うのもプログラムからしたら基本一緒のことだけども、人間が法則見つけようとしたら危ないから、もし1個でも漏れたらベース文字列もちゃんと変えようね。

どんな鍵も技術の進歩などでいずれ開錠が簡単になっていくだろうけども、少なくとも鍵を作った時期と同時期の技術では何があっても開錠されてはいけない。幸いなことに家の扉の鍵と違って、鍵言葉自体は技術の進歩に関係なく変更しなくていい。サイト（鍵穴）側がきちんと防犯技術の更新をしていれば大丈夫なので安心して同じサイトでは同じ鍵言葉を使い続けてくれていいよ。

でもさすがに簡単すぎる鍵言葉を使っていると、いずれ自動プログラムとか魔のさした人間とかに開けられてしまうかもしれないね。一般的な侵入攻撃は個人相手ではなくて、不特定多数を相手に、サイトが限度にしている間違えていい回数以下で延々と繰り返し試されつづける。そう今この瞬間も沢山の攻撃プログラムがそこらじゅうで動いていることでしょう。1人に対して100回も1億回（だいぶ手前で自動ブロックされるけどもｗ）も色々な鍵言葉を試すのではなくて、1億人に対して簡単な鍵言葉で延々と1回ずつ試して1人でも開いたら成功なんだからね。サイト侵入攻撃において、ちゃんとサイトが対策していれば文字数とか種類とか本来はどうでもいい。人間が思い入れのある誕生日8桁も、ランダムで選んだ8桁も、あなたを知らない攻撃プログラムにとってはどちらもただの8桁の数字なんだよ。ブロックする前に開錠されない程度の複雑さがあればそれでいい。人間が覚えにくくて連想もされにくい難しい鍵言葉は、どっちかというと自動侵入攻撃よりもあなたを知ってる（あなたが知ってるとは言っていない）生身の人間からの攻撃を防ぐためのお願い。

さて、暗号の話に移りましょうか。上でもちょこっと言ったけれど、サイトはあなたの鍵言葉を知らないって話ね。

鍵言葉を登録したところで、サイトは暗号化されたハッシュっていう文字列で登録しているんだよ。ハッシュの長さは32文字とか128文字とかサイトが使っている暗号化方法によって違う。あなたが登録した鍵言葉が1文字だろうが1000文字だろうが、サイトでは暗号化された一律の文字数で保存されているってことね。だから鍵言葉を長い方で制限するサイトはいささか俺は納得いかないんだ。人間相手で頻繁に忘れられると面倒と考えているのか、ハッシュを使っていないサイトなのかしらないけど、ね。

ハッシュは不可逆で、ハッシュからあなたの鍵言葉を導くのは（ほぼ）不可能なんだ。逆にハッシュを使っていないサイトはそこの人間ならだれでもあなたの鍵言葉を盗んで成り済ませる可能性をもってると思ったらいいよ。沢山のサイトで同じ鍵言葉を使いまわしてたら危ないって理由の一つだね。怖いね、使いまわし、ダメ、絶対。サイトに登録されてる情報を、そこの人間が見るぶんにはハッシュでは防げない。だってハッシュを見ることができる人なら、他の情報も見られてるってことだから。ただし、ハッシュで守られている鍵言葉で可逆的な暗号化をしてあなたの情報を保存しているサイトでは、そこの人でさえあなたの情報を見ることはできない。ここまで徹底して管理しているサイトはそうそうないけど、もししてくれていたら感心するね。常に暗号化・複合をしているわけでサーバーに負荷かかるから、お金もかけて守ってくれてるってこと。ってか、そこまでしてくれてるサイトの管理技術なら、そもそも攻撃しても入れないから盗めないだろうけどもｗ　まずデータを盗むことさえ無理だし、盗んだところでそれぞれ全部暗号化されてたら諦めてもう捨てるよね。

ハッシュを使っていないサイトが、ただ単に技術不足なら管理体制考えた方がいいよ。サイト管理を委託してて、委託先が業務にもかかわらずハッシュごときも使えない業者だとしたらウンコだよ、変えちゃいなよ。まさかいないよね、そんな業者・・・廃業しちまいな、本気で。どうせゾンビとかつくっちまうんだろ、迷惑。

ここまでは保存されてるデータの暗号化の話で、通信にもSSL（TLS）という暗号化技術がある。SSL通信するページにいくとブラウザに鍵マークが現れるよね。あれだよあれ。

秘密の合言葉を使ってお互いが暗号化と複合をしてやり取りしてるんだよ。そう、お互い知っているから鍵言葉ではないんだよ。

え？いつ秘密の合言葉のやり取りしたって？？

それはまた次回だね。　

ほなさいなら。