みなさんはいったいいくつの「パスワードによる認証」が必要なシステムやサービスを使っているだろうか? そしてそのうちいくつが「パスワードの定期的な変更」を要求してくるだろうか？ 「パスワードの定期的な変更」は「セキュリティを高めるため」として推奨・強制される場面が多かったが、最近、総務省が「パスワードの定期的な変更は不要」と方針転換したことで話題になった。
それよりも先立って 2017年にはアメリカの国立標準技術研究所 (NIST) が「(サービス提供側がユーザに) パスワードの定期的な変更を求めるべきではない」とのガイドラインを示している。定期的な変更は、セキュリティ上のメリットがないわけではないがさほど大きくはなく、ユーザーがパターン化されたパスワードを使うようになったり（UX的に考察し予測すべきことがらである）、そもそも煩雑であるなどデメリットのほうが大きいという認識が広まった結果である。
今回はパスワードや認証の周辺を考察する。
認証の本質
世の中にはさまざまな種類の認証の方法があるが、それらはすべて本質的には「認証を行いたい場」において「それとは違う場でやりとりされ、共有された情報」を持っているかどうかを確認する、ということにまとめられる。ウェブ上のシステムであれば、メールや携帯電話のショートメッセージ （違う通信手段やプロトコル） で送られた情報を入力させたりするのが分かりやすい例であろう。
パスワードの場合は、パスワード設定時という、(同じシステム上で行ったとしても時間的に)「違う場」でユーザーが登録した情報を、今、認証を行いたい場で入力できるか （より正確にはその情報を持っていることを証明できるか）、ということで認証する。ワンタイムパスワードの生成器やアプリケーションを用いる場合も、時刻などに応じて同じ情報を生成できるようなマスターとなる鍵を認証する側・される側で共有している。
単純には「違う場」の数を増やせば認証の厳しさを増すことができる。通常のパスワードに加えショートメッセージなどで送られる情報やワンタイムパスワード生成器による情報などを入力させたりする多要素認証はそれを利用している。
共有する情報の種類
共有する情報の種類も手法によりさまざまである。パスワードの場合は「ユーザが覚えることができ、かつ、他人に推測されにくい文字や数字の列」である。常日頃UXを考察している人であれば「覚えやすく」「推測されにくい」文字や数字の列をユーザに生成させる、という点がすぐに引っかかるであろう。
システムとしての実装や、ユーザーへの説明はとても簡便に済むというメリットと、「適切なパスワードの生成や管理はユーザにとって負荷が高い」というデメリットがある。推測されにくくするために文字列を長くすると、入力もその分、大変になり UX に影響する。理想的には「覚える必要がない」ようにする方向で考えるべきである。
次善の策として、ウェブブラウザなどにパスワードを記憶させ、毎回入力せずによいようにするという方法もよく用いられている。
個人に強くひも付き、他のユーザーが基本的には使わないスマートフォンのようなデバイスなどでは有効に使える。指紋や虹彩のパターンなど、一人ひとりで違いセンサですばやく読み取れる情報を共有情報とする生体認証も利用されるが、「その情報自体を変更できない」というところが弱点となる。
ひとたびその情報が他に漏れ、センサを騙すことができてしまうと、なりすましを防ぐことができない。また、ユーザーが意図せずに認証を行われてしまう、という危険もある。
寝ている間にスマートフォンの指紋認証を解除させられて……という話を聞いたことがある読者も多いであろう。
