パスワードのセキュリティー

注意: このページは、レンタルサーバー SPEEDEX VPS v2 の技術サポートです。
2009年6月現在、VPS v2 の新規オーダーを受けしておりますが、 VPS v3 の採用をお勧めします。
現在提供中のサービスについては SPEEDEX のメニューページを参照ください。
SPEEDEX VPS v1 サーバーご利用の場合は v1 サーバーサポートページを参照ください。
SPEEDEX VPS v3 サーバーご利用の場合は v3 サーバーサポートページを参照ください。
SPEEDEX OneDom サーバーご利用の場合は OneDom サーバーサポートページを参照ください。

VPS v2 システムのセキュリティーは、ユーザー個人及び管理者の情報にアクセスする場合、パスワードを要求することで確保されています。パスワードは、VPS v2 のセキュリティー上、そのような重要な役割を果たしているので、パスワードの決定と使用に関しては、考慮しなければならない多くの重要な問題があります。

悪意ある個人による VPS v2 へのアタックの方法のうち、パスワードクラッキングが最も効果的で利用価値が高いとされています。VPS v2 システムが使っている UNIX オペレーティングシステムは、認証されたユーザーとユーザーのパスワード情報を特別のファイルとして保持していて、このファイルを使ってアクセス認証を行っています。VPS v2 システムはこうした情報を各 VPS v2 に ~/etc/passwd の名称で保存しています。

今日悪意ある侵入者にサーバーのセキュリティーを破るのに広く使われているクラッキングの技術は "辞書を使った推理" を意味します。そこではコンピュータによって ユーザーアカウント の正しいパスワードを発見するために、トライアンドエラーの推理プロセスが使われます。そうした侵入者は一般に、クラッキングの前に、そうした自動推理プログラムへの入力に使うために ~/etc/passwd ファイルを取得しようとします。UNIX のパスワード保護の仕組みによって ~/etc/passwd ファイルはアカウントユーザーの生のパスワードは含んでいません。パスワードは、生のパスワードを暗号化のキーとして使い一般文字列にする特別の暗号化システムで処理された文字列として保存されています。また、暗号化されたパスワードは、root として VPS v2 にアクセスした場合でなければ読めない形で別ファイルに保存されています。

ですから、~/etc/passwd ファイルの中身を知ることが直ちにパスワードを知ることを意味するものではありません。しかし、アカウント名のリストは知ることができます。また推理したパスワードの正しさをすばやくチェックする手段を提供します。すなわち、クラッカーを大いに助けることになります。侵入者は、大きな単語リストや辞書を使って、一語毎に、並べ替え文字も含めパスワードの推理を試みます。そうしたパスワードを ~/etc/passwd ファイルの内容に対してマッチするまで試すわけです。

このプロセスは驚くほど成功します。ですから、英語以外の言語も含め、何かの辞書に載っている可能性がある単語をパスワードに使うべきではありません。辞書に載っている単語やアカウント名の裏返し文字列、辞書に載っている単語をつないだ文字列、単語の語頭や末尾に数字や一文字を加えた文字列などの平凡な並べ替えも同様に排除すべきです。熱心なアタッカーは、こうした並べ替えは先ず最初にチェックするだろうからです。良いパスワードの文字列は十分な長さ、十分な複雑さ、十分な不明瞭性が必要です。

長さ
伝統的な UNIX システムはパスワードの最初の８文字を認識し使います。そのため、パスワードは７文字か８文字の長さにすべきです。
複雑さ
UNIX のパスワードでは大文字小文字が区別されます。また特殊文字も使えます。そのため、普通でない文字列を考えるべきです。
不明瞭性
簡単に取得できるユーザーの個人情報をパスワードに使うべきではありません。

書籍 "Practical UNIX Security" で Simson Garfinkel と Gene Spafford は以下のパスワード選択時のチェックリストを示しています。パスワードは以下のどれにも当てはまらないようにしてください。

個人名
配偶者の名前
両親の名前
ペットの名前
子供の名前
親しい友人や同僚の名前
お気に入りの物語の主人公の名前
上司の名前
誰かの名前
利用しているコンピュータの O/S 名
コンピュータの O/S 名前
電話番号
免許証番号
社会保障番号の一部あるいはそのもの
誕生日
簡単に推測されうる個人情報
以下のような単語の類 "wizard", "guru", "gandalf"
ユーザー名そのものとその変形
英語の辞書に載っている単語
その他の言語の辞書に載っている単語
地名
名詞
大文字小文字数字の全てを含まないパスワード
キーボードの文字の単純なパターン例えば "qwerty"
上記どれかの裏返し文字列
上記どれかの語頭、末尾に一文字の数字を付け加えたもの

著者は「類推しにくいパスワードが良いパスワードである」といっています。一般に良いパスワードとは以下のようなものだともいっています

大文字と小文字の双方を含むもの
数字、特殊文字、アルファベットを含むもの
簡単に覚えられてメモする必要がないもの
７文字か８文字の長さ
肩越しに覗かれても判らないくらいすばやくタイプできるもの

結論: パスワード選択を注意深く行うことが、VPS v2 の強靭性とセキュリティーを確保することにつながります。

SPEEDEX サポートポリシー