プライベートI: パスワードを同期するかどうかを選択する

作成するパスワードはすべて一意である必要があります。サイト、サービス、システムごとに異なるパスワードが必要です。また、長く、辞書に載っている単語は含まず、句読点、明確な考え、そしておばあちゃんの有名なコーンプディングのレシピなどを含める必要があります。

パスワードは馬鹿げた話です。クラックされたデータベースやウェブサイトから常に何百万ものパスワードが流出していることに、あなたは不安を感じているかもしれません。パスワードをどんな方法で作成し、どのように使用しても、パスワードは破られる可能性が高いと思い込み、宿命論者になっているかもしれません。

絶望する必要はありません。覚える必要のない、ユニークで強力なパスワードを作る努力は、まだ価値があります。ただし、一つだけ覚える必要があるパスワードがあれば、リスクを負うことなく覚えられるようになります。

よく耳にするクラックには、暗号化されたパスワードとペアになったアカウント名やメールの漏洩が伴うのが一般的です。これらのパスワードは、一連の数学的演算によって「プレーンテキスト」（実際のパスワード）を粉砕する暗号化「ハッシュ」機能を使用してスクランブル化されており、元に戻して元のパスワードを復元できない結果が生成されます。

一般的なパスワードはハッシュ化された結果と照合することができ、パスワードに「ソルト」と呼ばれる追加のエントロピービットがない場合、ハッシュ化されたパスワードとの照合に成功した場合、漏洩情報に含まれるすべてのアカウントと一致することになります。そのため、研究者は例えば「123456」が一般的なパスワードであると認識しています。

このような漏洩の場合、パスワードが暗号化されている限り、強力なパスワードを選択すれば、解読の試みに抵抗することができます。また、毎回異なる強力なパスワードを選択すれば、あるサイトやサービスで完全に機能しなくなっても、どこからでもあなたの個人情報のあらゆる側面にアクセスされることはありません。

オンラインセキュリティの他の多くの側面と同様に、悪意のある人物、犯罪者、または政府があなたの個人情報を入手しようと躍起になっているような、特に標的にされていない限り、リスクを軽減することは可能です。しかし、もしかしたら先を見越してこう考えているかもしれません。「覚えるのが不可能なパスワードをたくさん作るとしたら、やはり脆弱な方法で保護する必要があるのではないでしょうか？」その点については後ほど説明します。約束します。

強力なパスワードは、考え出すのではなく、生成されます

ユニークで強力なパスワードの設定と保​​存がかつてないほど簡単になり、必要な時に簡単に利用できるようになりました。Appleが2013年にMac OS X 10.9 MavericksとiOS 7にiCloudキーチェーンを追加したことは大きな進歩でしたが、包括的なものではありませんでした。Safariでは、iOSとOS Xが長くて強力なパスワードを提案し、それをローカルに保存し、必要に応じて同じiCloudアカウントにログインしている他のデバイスと同期することができます。（Joe Kissellが書いたチュートリアルは、iOS 8とYosemiteでも引き続き有効です。）

Appleは、ほぼ記憶に残る結果を生成します。12文字を4つのグループ（ハイフンで区切る）に分け、大文字、小文字、数字を組み合わせます。iCloudキーチェーンは、Webフォームに入力したパスワード（ユーザーの許可が必要）や、Wi-Fiネットワークなどのシステムパスワードも保存・同期します。

パスワードの生成と保存は Safari 内でのみ機能しますが、サードパーティ製アプリは保存と同期に iCloud キーチェーンを使用できます。同様の利点やより広範な利点を提供するサードパーティ製のオプションがいくつかあります。私は 1Password を使用していますが、同僚の多くは LastPass を利用しています。これらのパスワード生成器と金庫の組み合わせは、複数のプラットフォームで機能し、同期にも複数の方法を提供します。iOS 8 では、App Extensions を使用することで、Safari に直接接続できます。1Password には、多くの人気アプリが利用している API があり、1Password アプリの外部に保存されているパスワードにアクセスできます。どちらも Touch ID によるロック解除が可能です。(iOS 版の Transmit は、デスクトップでも使用する接続を設​​定する際に 1Password を使用できるファイルサーバー接続アプリであるため、私のお気に入りです。)

同期するかしないか

問題はこうです。せっかく別々のパスワードを作るのに苦労するなら、それらを全て一つの場所にまとめて、覚えなければならない一つのパスワードで保護するのは、本当に最悪な考えではないでしょうか？ Dropbox、iCloud、その他のクラウドストレージシステムでパスワードキャッシュを同期している場合、それらのパスワードが簡単に大量に盗まれる危険にさらされているのではないでしょうか？ 一見大きなリスクのように思えますが、実際にはそうではありません。

まず、物理的なアクセスについて検討する必要があります。iCloudキーチェーンと1Passwordを使用するには、デバイスまたはコンピュータへのローカルアクセスが必要です。（Macへのリモート画面共有も、設定方法や設定の有無によってはリスクがあります。）

第二に、たとえ物理的なアクセス（または次に説明するLastPassを使ったWebベースのアクセス）があったとしても、誰かがあなたのマスターパスワードなどの要素を持っていなければなりません。Appleやサードパーティ製のパスワードアプリは、モバイルデバイスやコンピューターでのアクセスをさらに安全にするための様々なオプションを提供しています。たとえ誰かがあなたのパスワードを含むサードパーティ製アプリのアーカイブを入手し、何時間も何年もかけて自動的に様々なパスワードを試し続けることができたとしても、1Password、LastPassなどのアプリがマスターパスワードをハッシュ化するより巧妙な方法は、試行ごとに計算コストを高くします。

3つ目に、クラウドに保存されたデータへのアクセスには2つの段階があります。1つ目はアカウントへのアクセス、2つ目はそこに保存されたデータの解読です。これは上記の2つ目のポイントと同じ問題です。Appleは、iCloudストレージ全体のセキュリティ強化に加え、iCloudキーチェーンをさらに強化して保護しています。セキュリティが非常に高いため、うっかりロックアウトされて同期できなくなる可能性があります。実は、iPhoneをアップグレードした際に、バックアップとして使っていたPINを記録し忘れてしまい、危うくそうなるところでした。（ほら、誰にでも起こり得ることです！）

保護層

1Password は、Wi-Fi 経由でローカルに同期するなど、いくつかの方法で同期できますが、データを Dropbox に保存する場合、攻撃者は Dropbox のパスワード (および、私が推奨するように 2 番目の要素を有効にする場合) が必要になります。さらに、1Password パッケージを使用しても、そのデータ ストアを復号化するにはマスター パスワードが必要になります。

LastPass は、同期とブラウザ アクセスに独自のクラウドベースのストレージを使用しているため、アカウント層を突破するだけで済みますが、同社は複数の多要素オプションを含む、資格情報を制限および検証するための非常に堅牢な一連の方法を提供しています。

このことから明らかなのは、これらのシステムすべてにおいて最も脆弱なのは、パスワードストアのロックを解除する1つ（または複数）の要素だということです。Appleの場合、同期するデバイスの検証に追加の手順が必要となるため、OS X、iOS、そしてiCloudに搭載されているあらゆる安全対策に頼ることになります。

1Password、LastPassなどのサービスを使用する場合は、強力で覚えやすく、モバイルデバイスで日常的に入力するのに手間がかからないマスターパスワードを選択する必要があります（Touch IDに大きく依存している場合を除く）。セキュリティの第一人者であり暗号学者でもあるブルース・シュナイアー氏は、こうしたパスワードの選び方と避けるべき点について、有益なアドバイスを提供しています。

私はパスワードのポリアンナではありません。セキュリティの低いウェブサイトは、ユーザーのパスワードを複数のアクセスポイントで脆弱な状態にしてしまう可能性があります。しかし、私はコンパートメント化の考え方を支持しています。諦めて弱いパスワードをあらゆる場所で使い続けるのではなく、決して覚えられないような独自のパスワードと、それらをしっかりと守るための強力なパスワードを一つずつ設定することで、他人の誤った判断によるリスクを最小限に抑えることができます。

Glenn Fleishman 氏は The Magazine の編集者兼発行者であり、Boing Boing および Economist の定期寄稿者、そして Macworld の上級寄稿者です。