パスワードを決める

注意: このページは、レンタルサーバー SPEEDEX VPS v1 の技術サポートページです。
SPEEDEX VPS v1 には FreeBSD サーバーA、FreeBSD サーバーB、FreeBSD サーバーC、Solaris Standard、Solaris Pro の 5 タイプがあります。
2009年6月現在、5 タイプとも新規オーダーはお受けしておりません。
現在提供中のサービスについては SPEEDEX のメニューページを参照ください。
なお、Solaris Standard、Solaris Pro につきましては 2010年5月を持ってサービスを停止する予定です。
SPEEDEX VPS v2 サーバーご利用の場合は v2 サーバーサポートページを参照ください。
SPEEDEX VPS v3 サーバーご利用の場合は v3 サーバーサポートページを参照ください。
SPEEDEX OneDom サーバーご利用の場合は OneDom サーバーサポートページを参照ください。

VPS v1 システムのセキュリティーは、ユーザー個人及び管理者の情報にアクセスする場合、パスワードを要求することで確保されています。パスワードは、VPS v1 のセキュリティー上、そのような重要な役割を果たしているので、パスワードの決定と使用に関しては、考慮しなければならない多くの重要な問題があります。

悪意ある個人による VPS v1 へのアタックの方法のうち、パスワードクラッキングが最も効果的で利用価値が高いとされています。VPS v1 システムが使っている UNIX オペレーティングシステムは、認証されたユーザーとユーザーのパスワード情報を特別のファイルとして保持していて、このファイルを使ってアクセス認証を行っています。VPS v1システムはこうした情報を各 VPS v1に ~/etc/passwd の名称で保存しています。

今日悪意ある侵入者にサーバーのセキュリティーを破るのに広く使われているクラッキングの技術は "辞書を使った推理" を意味します。そこではコンピュータによって ユーザーアカウント の正しいパスワードを発見するために、トライアンドエラーの推理プロセスが使われます。そうした侵入者は一般に、クラッキングの前に、そうした自動推理プログラムへの入力に使うために ~/etc/passwd ファイルを取得しようとします。パスワードは、生のパスワードを暗号化のキーとして使い一般文字列にする特別の暗号化システムで処理された文字列として保存されています。

侵入者は、大きな単語リストや辞書を使って、一語毎に、並べ替え文字も含めパスワードの推理を試みます。そうしたパスワードを ~/etc/passwd ファイルの内容に対してマッチするまで試すわけです。

このプロセスは驚くほど成功します。ですから、英語以外の言語も含め、何かの辞書に載っている可能性がある単語をパスワードに使うべきではありません。辞書に載っている単語やアカウント名の裏返し文字列、辞書に載っている単語をつないだ文字列、単語の語頭や末尾に数字や一文字を加えた文字列などの平凡な並べ替えも同様に排除すべきです。熱心なアタッカーは、こうした並べ替えは先ず最初にチェックするだろうからです。良いパスワードの文字列は十分な長さ、十分な複雑さ、十分な不明瞭性が必要です。

長さ
伝統的な UNIX システムはパスワードの最初の８文字を認識し使います。そのため、パスワードは７文字か８文字の長さにすべきです。
複雑さ
UNIX のパスワードでは大文字小文字が区別されます。また特殊文字も使えます。そのため、普通でない文字列を考えるべきです。
不明瞭性
簡単に取得できるユーザーの個人情報をパスワードに使うべきではありません。

書籍 "Practical UNIX Security" で Simson Garfinkel と Gene Spafford は以下のパスワード選択時のチェックリストを示しています。パスワードは以下のどれにも当てはまらないようにしてください。

個人名
配偶者の名前
両親の名前
ペットの名前
子供の名前
親しい友人や同僚の名前
お気に入りの物語の主人公の名前
上司の名前
誰かの名前
利用しているコンピュータの O/S 名
コンピュータの O/S 名前
電話番号
免許証番号
社会保障番号の一部あるいはそのもの
誕生日
簡単に推測されうる個人情報
以下のような単語の類 "wizard", "guru", "gandalf"
ユーザー名そのものとその変形
英語の辞書に載っている単語
その他の言語の辞書に載っている単語
地名
名詞
大文字小文字数字の全てを含まないパスワード
キーボードの文字の単純なパターン例えば "qwerty"
上記どれかの裏返し文字列
上記どれかの語頭、末尾に一文字の数字を付け加えたもの

著者は「類推しにくいパスワードが良いパスワードである」といっています。一般に良いパスワードとは以下のようなものだともいっています

大文字と小文字の双方を含むもの
数字、特殊文字、アルファベットを含むもの
簡単に覚えられてメモする必要がないもの
７文字か８文字の長さ
肩越しに覗かれても判らないくらいすばやくタイプできるもの

結論: パスワード選択を注意深く行うことが、VPS v1の強靭性とセキュリティーを確保することにつながります。

SPEEDEX サポートポリシー