「パスワード」というモノは、PCの世界において唯一の「本人証明」となる代物です。で、あるからして
これは、まぁ全ての人間が共通して言うことでしょう。具体的には
で、作ったパスワードをどのように保存するべきなのか。ここで人によって言うことが変わってくる。
まぁ大体上記二通りの主張が、いわゆる「初心者向けセキュリティ解説サイト」で繰り広げられていると思います。
あらかじめ書いておきますが、「安全」「危険」というキーワードが含まれるあらゆる問いに関して、「明確な答え」「完璧な答え」なんてものは存在しません。「これで100%の安全が確保される」「こうすれば危険性は0になる」なんて主張は、はっきり言えば嘘です。そういう場所にこそ、一定以上のスキルと悪意を持った人間にとって「糸口」となるモノが生まれる。現実世界においてと同じように、PC・インターネットの世界に「完璧な安全」等というモノは存在しない(プロの泥棒さんからすれば「ウチはセコム入れてるから安全」という家は狙いやすいに違いない)。
・・・と、いう、言い訳をした上で、「パスワード管理」という話において何が「論点」となるのかを書きます。「明確な答え」は出しません。というか出せません。ここで述べる「論点」を踏まえ、一人一人が自分にとってベストと思える方法でパスワードを管理して下さい。「論点」を知っていれば、つまりその「ベストと思える方法」が持つ脆弱性を踏まえてさえいれば、「これで安全です」と結果のみを与えられた場合よりは「安全性」が上がるはずです。
パスワード盗難防止ガイド(1)この連載では「FFFTPでアクセスしているFTPサーバーのパスワード」を例とします。で、パスワードをサーバーに送信する段階までを取り上げます。実際にはFTPパスワードは(基本的に)平文でユーザーマシンからサーバーマシンに送られるので、この最中に(パケットキャプチャ等により)通信を覗くというのも「パスワード盗難」の一つの方法であったりする訳ですが、その段階には触れません。自分自身のローカルマシン上での盗難を防ぐことのみを考えます。内容自体はパスワードクラック概論とある程度かぶると思うので読んでない方は先に読んでおいてもらえると助かります。
次回起動時もそのホストは「登録済み」となっていると、いうことは、そのホストに関する情報はローカルマシン(要はユーザーが普段使っているマシン)のHDDないしレジストリ内に記録されている。
FFFTPの場合は、FFFTPプログラムと同じフォルダ内の「ffftp.ini」というファイルが「設定ファイル」となります。これが何を意味しているのか考えてみましょうか。
FFFTPプログラムと同じフォルダ内の「ffftp.ini」というファイル即ち、FFFTPプログラムのパス(HDD内の所在地)が分かれば設定ファイルのパスが分かる。FFFTPプログラムが「C:\Program Files\FFFTP\ffftp.exe」ならば、設定ファイルのパスは「C:\Program Files\FFFTP\ffftp.ini」です。
設定ファイルのパスが分かる「特定の手段によりローカルマシン上の(任意のパスの)ファイル読み取りが可能となる」というセキュリティホールはよくOEやIE周辺で発見されます。
参考: 他力本願堂本舗内「Web Browser ControlのNavigateメソッドがセキュリティーゾーンの制限を迂回するつまり、「設定ファイルのパスが分かる」ということは「そういったセキュリティホールを利用すれば設定ファイルを抜くことが出来る」ということです。もちろん、この話はFFFTP設定ファイルのパスが分からなければ意味がない。FFFTPのインストーラーは
パッチを当てていないIE5.*が持っていたセキュリティホールです。代表的な「ローカルマシン上の(任意のパスの)ファイル読み取りが可能」系のセキュリティホールですね。
パスワード盗難防止ガイド(3)
パスワード盗難防止ガイド(4)
パスワード盗難防止ガイド(5)
パスワード盗難防止ガイド(6)
パスワード盗難防止ガイド(7)
パスワード盗難防止ガイド(1)前回書いたように、FFFTPの設定ファイル内に記録されているパスワード情報は「平文のパスワード」ではなく、「パスワードを暗号化して得られた文字列」です。
パスワード盗難防止ガイド(2)
パスワードは平文ではない（「abcde」と設定したのに「AFcBFCFBaIYZL」となっている）FFFTPがFTPサーバーにログインしようとする時、サーバーに対して送信されるパスワードは平文です（「AFcBFCFBaIYZL」ではなく「abcde」です）。つまりFFFTPというプログラムは
つまり、ffftp.iniを覗いても「平文のパスワード」が書いてある訳ではない。
パスワードの「abcde」を「AFcBFCFBaIYZL」にしたのはFFFTPプログラムです。パスワードが平文だとセキュリティに問題があるので暗号化している訳ですね。
「abcde」に暗号化を施し得られた「AFcBFCFBaIYZL」それが一定の規則に基づいた「暗号化」である以上、その規則さえ分かれば
パスワードを平文以外で記録するアプリ設定ファイル（orレジストリ）を覗いて「暗号化された文字列（AFcBFCFBaIYZL）」を「平文のパスワード（abcde）」に脳内で解読できる人間というのはあまりいないでしょう。FFFTPがどのような「規則」でパスワードを暗号化しているのか。それを根気強く解析していけばいつか分かるかもしれませんが。
→設定ファイル（orレジストリ）を見られても正しいパスワードは分からない
参考:パスワードクラック概論(2)
「暗号化されたパスワードを解読し生のパスワードを得る」というのを攻撃側からの視点で書いています。
パスワードを平文以外で記録するアプリ正確に言えば
→設定ファイル（orレジストリ）を見られても正しいパスワードは分からない
ユーザーによって「abcde」というパスワードが登録されるユーザーが自分の脳内で「解読」を出来ないにしても、FFFTPというプログラムは「解読」を行っている。
FFFTPは「abcde」に暗号化を施し得られた「AFcBFCFBaIYZL」を設定ファイルに記録する
次回起動時、FFFTPは設定ファイルから「AFcBFCFBaIYZL」を読み込む
FFFTPは「AFcBFCFBaIYZL」を解読し得られた「abcde」をFTPサーバーに送信する
FFFTPは「AFcBFCFBaIYZL」を解読し得られた「abcde」をFTPサーバーに送信するそうでなければFFFTPは「abcde」をFTPサーバーに送信することが出来ないのだから（※）。
※つまり。他人のFFFTP設定ファイルを抜いたクラッカーが取るべき行程は以下。
この連載の後半で書きますが、この記述にはそれなりの意味があります。ので頭の片隅にでも。
参考: 自宅サーバーを構築しよう内「トロイの木馬の種類と仕組み」
「トロイ」について
パスワード盗難防止ガイド(4)
パスワード盗難防止ガイド(5)
パスワード盗難防止ガイド(6)
パスワード盗難防止ガイド(7)
パスワード盗難防止ガイド(1)「パスワード盗難と関係ないじゃん」と思うかもしれませんが以下の話を。
パスワード盗難防止ガイド(2)
パスワード盗難防止ガイド(3)
実のところ「アプリがパスワードを暗号化して保存するか否か」というのは「パスワード盗難を防ぐ」という話においてあまり意味を持っていないと言わざるを得ない。
MP3ファイル転送用の専用ソフトは、ファイルに対して暗号化を施しながらMP3をHDDからメディアにコピーしています。この暗号化には「メディアが一枚一枚固有に持っているナンバー」が使用される。「元のMPファイルの内容」と「メディアが一枚一枚固有に持っているナンバー」が入力で、「メディアに書き込まれるMP3ファイルの内容」が出力です。
「abcde」と設定したのに「AFcBFCFBaIYZL」となっている「abcde」が「正しいパスワード」の時、「AFcBFCFBaIYZL」が「正しいパスワードを一入力関数に代入した値」。「何故一入力関数だと分かるのか？」という理由ですが、
上記の行程で、新PCを買った時に環境移行することが出来るからです。もしもFFFTPが「正しいパスワードを複数入力関数に代入した値」を設定ファイルに記録しているのならば、上記の行程で環境移行が出来る訳がない。
- 旧PC内のFFFTPの設定ファイルをFDDか何かにコピーする
- 新PCにFFFTPをインストールする
- 新PC内のFFFTPフォルダに（1でバックアップした）FFFTP設定ファイルをコピーする
パスワード盗難防止ガイド(5)
パスワード盗難防止ガイド(6)
パスワード盗難防止ガイド(7)
パスワード盗難防止ガイド(1)「暗号」というモノを具体的に見つめていくと、「パスワード盗難を防ぐ」という話において重要なのは「その暗号化関数に代入されているのが『正しいパスワード』だけなのかどうか」というポイントである、というのが分かると思います。
パスワード盗難防止ガイド(2)
パスワード盗難防止ガイド(3)
パスワード盗難防止ガイド(4)
上記のような分類にはあまり意味がない、と。
- パスワードを平文で記録するアプリ
→設定ファイル（orレジストリ）を見られただけでパスワードを盗まれてしまう- パスワードを平文以外で記録するアプリ
→設定ファイル（orレジストリ）を見られても「暗号化されたパスワード」しか見えず、それを解読されない限り「平文のパスワード」は漏れない
→現実的には、設定ファイル（orレジストリ）を見られても正しいパスワードは分からない
設定ファイル（orレジストリ）を抜かれただけではパスワードを盗まれない当然、それが「正しいパスワード」と「固有の値」を複数入力関数に代入した結果であったとしても、「固有の値」さえ分かれば「代入結果」から「正しいパスワード」を求めることは出来ます。
「『設定ファイルを抜かれる』が『パスワードを盗まれる』に繋がるのは仕方のないことじゃないのか？」と思いながら読んでいた人もいると思います。「複数入力関数とかを使って『設定ファイルを抜かれる』から『パスワードを盗まれる』までの工程を難しくすることは出来ても、根本的に設定ファイルを盗まれたらパスワードは盗まれるだろ」と。
- パスワードを平文で記録するアプリ
→設定ファイル（orレジストリ）を見られただけでパスワードを盗まれてしまう
一方向関数にパスワードを代入した結果を記録するアプリ
→設定ファイル（orレジストリ）を抜かれただけでパスワードを盗まれてしまう- パスワードの複数入力関数への代入結果を記録するアプリ
→設定ファイル（orレジストリ）と固有値を抜かれたらパスワードを盗まれてしまう
FFFTPは「AFcBFCFBaIYZL」を解読し得られた「abcde」をFTPサーバーに送信するFFFTPといったクライアントプログラムは、どんなに複雑な暗号化処理を経ていたとしても、最終的には平文のパスワード（=「abcde」）をサーバーに送信する。「サーバーに送信する」ということは「プログラム内部で認識している」。
そうでなければFFFTPは「abcde」をFTPサーバーに送信することが出来ないのだからまぁFFFTPに限って言えば「設定ファイル内の文字列」は「正しいパスワードを一入力関数に代入した値」な訳ですが、これが「正しいパスワードを複数入力関数に代入した値」であったとしても、その「鍵」がどんなに他人には入手困難な値であっても、その「関数」がどんなに複雑な代物であったとしても、最終的に「正しいパスワードをプログラムが得ている」ならば「必要な全ての値（『設定ファイル内の文字列』や『鍵』）を手に入れた他人は正しいパスワードを解読しうる」。
参考：パスワードクラック概論
そうでなければFFFTPは「abcde」をFTPサーバーに送信することが出来ないのだからです。プログラムが「正しいパスワード」を認識する必要があるなら、設定ファイル内の文字列は必ず「パスワードを双方向関数に代入した値」ですし、必要がないなら「パスワードを一方向関数に代入した値」である可能性が高い。
パスワード盗難防止ガイド(6)
パスワード盗難防止ガイド(7)
パスワード盗難防止ガイド(1)前回まで四回をかけて「設定ファイルを盗まれる」と「アカウントを破られる」の関係について書いてきました。「『設定ファイルを盗まれる』と『アカウントを破られる』は必ずしも同値ではない」と。クライアントサイドプログラムでは基本的に「同値」ですが、それにしても「設定ファイルを盗んだ後アカウントを破るための難しさはアプリ次第で変わる」と。
パスワード盗難防止ガイド(2)
パスワード盗難防止ガイド(3)
パスワード盗難防止ガイド(4)
パスワード盗難防止ガイド(5)
設定ファイルを盗んだ後アカウントを破るための難しさはアプリ次第で変わるアプリがパスワードを複数入力関数に代入し設定ファイルに記録するならば、「設定ファイル内の文字列」を「パスワード」に戻すことは難しい。「不可能」ではないが「難しい」。クライアントサイドプログラムである以上、パスワードは設定され送信される課程で必ず平文となる時期がある。一つは送信時。送信時には、アプリは必ず平文のパスワードを認識している。
そうでなければFFFTPは「abcde」をFTPサーバーに送信することが出来ないのだから。故に、「アプリがパスワードを一入力関数に代入しているか複数入力関数に代入しているか」というのは例えば「パケットモニタリングに関する耐性」という点では差がない。
※参考もう一つ、「設定され送信される課程」の中で「パスワードが平文である瞬間」というのが存在します。「パスワードがユーザーによって打たれる瞬間」。キーボードで打たれる全ての文字列・・・パスワードを含む・・・は、例えばキーロガーによって盗まれうる。
CyberAcademy内「LANの通信傍受」
※参考この話は、主に「パスワードを複数入力関数に代入し記録するアプリを使っている人」にとって大きな意味を持つでしょう。
Insider's Computer Dictionary内「キーロガー」
パスワード盗難防止ガイド(7)
前回までで書いてきたように、ローカルマシン上での「パスワード」は時に意味のある文字列(「抜けばアカウントを破れる文字列」)であり、時には意味のあまりない文字列(「抜いてもアカウントを必ずしも破れない文字列」)です。「パスワード盗難を防ぐ」をいう言葉は、つまり「クラッカーに『意味のある文字列』を渡さない」という意味であったりします。
最も「意味のある」文字列は、もちろん平文のパスワードです。一部ソフトは「平文のパスワード」つまり「最も意味のある文字列」をHDDなりレジストリなりに記録してしまう。当たり前ですが、それは「抜かれただけでアカウントを破られる情報」です。
また、キーボードによって打ち込まれる瞬間、打ち込まれるパスワードは確実に平文であり「最も意味のある文字列」である、と。故に、キーロガーを仕掛けられればキーボードを使ってパスワードを打つことにより、平文のパスワードは相手に届き、アカウントは破られる。
この連載では扱いませんでしたが、基本的にローカルマシンからサーバーに送信される瞬間も、パスワードは平文です。よってサーバーへの接続時にパケットキャプチャ等を使って通信を覗かれれば、平文のパスワードがバレることになりアカウントを破られてしまう。
次に「意味のある」文字列は、パスワードを一変数双方向関数に代入した値です。それは「関数」と併せられた時「平文のパスワード」となる。「関数」というのは、その暗号化・解読を行っているソフトそのものです。通常、ソフトを手に入れることは誰にでも出来るため、「パスワードを一変数双方向関数に代入した値」を手に入れたクラッカーは「そのソフト」を手に入れることで解読を行うことが出来る。つまり、アカウントを破られてしまう。FFFTPはこのタイプのソフトですね。設定ファイル内のパスワード情報は一見暗号化されているが、「設定ファイルを抜かれる」と「アカウントを破られる」は同値である。
その次に「意味のある」文字列は、パスワードを多変数双方向関数に代入した値です。この場合「平文のパスワード」を手に入れるには「関数」「他の入力」が必要になる。「関数」というのは先ほどと同じように「そのソフト」ですが、「他の入力」はそれほど簡単に手に入れられる物ではない(場合が多い)。パスワードを一変数双方向関数に代入するソフトに比べ、パスワードを多変数双方向関数に代入するソフトは「パスワードを盗難されにくいソフト」と言えるでしょう。
補足として書いておくと、最も「意味のない」文字列は、パスワードを一方向関数に代入した値です。この場合、「設定ファイルを抜かれる」と「アカウントを破られる」は基本的に同値でない。つまり設定ファイルを抜かれてもアカウントを破られることがない。設定ファイル内の文字列を平文のパスワードに解読することは不可能だからです。「『解読が不可能』な文字に何の意味があるのか？」という話ですが、「解読することは出来なくても認証に使用することは出来る」。このへんはこの連載では扱わないので「パスワードクラック概論」を参考にして下さい。「『解読が不可能』な文字列しか入手できなかった場合にどのようにアカウントを破ればよいのか」というのが、いわゆる「(サーバーに対する)パスワードクラック」の導入部となります。
この連載の最初に書いた通り、上記を知っても「ベストなパスワード管理方法」という絶対の答えを手に入れられる訳ではありません。それは上記を踏まえ一人一人が考えて下さい。その「考え」というのは、「補足」に書いた通り、いわゆる「(サーバーに対する)パスワードクラック」の導入部でもあります。「ローカルマシン上で如何にパスワード盗難を防ぐか」というテーマだけでなく、「パスワード」「暗号化」というキーワードが登場する様々な問いにおける汎用的な知識になるはずです。
・・・と、キレイにまとめておきます。
