STOP!パスワード使い回し!!について思うこと

おはき゛サ゛はかいこ @hakaikosen

IPAのSTOP!! パスワード使い回し!!キャンペーンには言いたいことがすごいあるんですよ。

おはき゛サ゛はかいこ @hakaikosen

jpcert.or.jp/pr/2014/pr1400… これな。

おはき゛サ゛はかいこ @hakaikosen

まぁ趣旨としてはそんなに悪かないと思うんだけど。

おはき゛サ゛はかいこ @hakaikosen

対策の(1)のｃに、パスワード管理ツールを使うというのがあるじゃないですか。ここで唐突に「信頼のおける専用ツール（ソフトウェア）を使用し、IDとパスワードを保存します」って言い出すわけです。信頼のおける専用ツールってなんやねんと。

おはき゛サ゛はかいこ @hakaikosen

信頼のおける専用ツール、なんてものが現実に存在するのかというのがまずあります。だってIPAだって何も例示しないわけです。具体的には申し上げられないが、信用のおける専用ツールを使えと言っているわけです。無責任じゃないですか。

おはき゛サ゛はかいこ @hakaikosen

ここでIPAが「信頼のおける専用ツールを作りました！」とでも言うなら格好いいと思うし、啓蒙活動としてベストな選択だと思います。でもそんなことできないですよね。だって完全なセキュリティなんてないことを一番知っているべき組織であるし、何か会った場合の責任なんて取れやしない。

おはき゛サ゛はかいこ @hakaikosen

ここで現実的な解決策に立ち返って、「比較的」信頼のおけるパスワード管理ツールとは何かがあるかと考えます。僕はそれは、ブラウザ自体が持つパスワードマネージャ機構だと思っています。サードパーティ製のものと比較すれば、の話ですけれども。ブラウザを信用しなければ通信すらできなくなる。

おはき゛サ゛はかいこ @hakaikosen

だから、パスワード管理には、ブラウザのパスワードマネージャ機構を使おうというのが一つの解として例示されるべきです。しかし、このキャンペーンでは、ブラウザのパスワードマネージャ機構については何も触れません。

おはき゛サ゛はかいこ @hakaikosen

比較的信頼できる、ブラウザのパスワードマネージャ機構が無視されているのは何故なのでしょうか。僕は下衆い見方が好きなので、きっとそれは、ブラウザのオートコンプリートは無効にすべきであるという教義に基いているからであろうと考えています。

おはき゛サ゛はかいこ @hakaikosen

ブラウザのパスワードマネージャ機構は、入力フォームのオートコンプリート機能と関連しています。そしてセキュリティ専門家は何故か、セキュリティを高めるためと言って、オートコンプリートを無効にしたがるのです。結果、ブラウザのパスワードマネージャ機構が抑圧された時代が長く続いてきました。

おはき゛サ゛はかいこ @hakaikosen

オートコンプリートは、確かに一面では危険な機能です。オートコンプリートによって表示された入力候補を閲覧した人間が、それを過去に入力した人間と一致しているとは限らないからです。オートコンプリートは、本質的に情報漏洩の危険性を孕んでいます。

おはき゛サ゛はかいこ @hakaikosen

しかし、オートコンプリートが危険なのは、同じ環境を複数人が共有している場合です。Windows9xの時代ならともかく、現代のOSは、ユーザアカウントを適切に管理することによって、各ユーザが閲覧できる情報を制限することができます。

おはき゛サ゛はかいこ @hakaikosen

すなわち、オートコンプリートによる情報漏洩というのは、ユーザ管理の稚拙さが根本的な原因です。あるいはそのリスクを許容した上で運用されているために生じるものです。オートコンプリートによる情報漏洩を、サイト運営者の責任とする論法には、とても賛同できません。

おはき゛サ゛はかいこ @hakaikosen

同じものを共有していれば、情報は漏洩するというのは当然の帰結です。また、オートコンプリートは利用者側で抑止することができます。そもそも、オートコンプリートはユーザエージェントが提供する便利機能です。本来的に、Webサイト側で抑止する性質のものではありません。

おはき゛サ゛はかいこ @hakaikosen

オートコンプリートを無効にしていなかったことによって情報漏洩が発生し、サイト運営者の非が認められた判例とか、あるいは情報漏洩以外でオートコンプリートが原因で発生したセキュリティインシデントとかあるんでしょうか？特に調べてはいませんが、あるなら知りたいところです。

おはき゛サ゛はかいこ @hakaikosen

もっとも、ユーザエージェントも黙ってオートコンプリートの無効化を受け入れるわけではなく、モダンなブラウザは、パスワード入力フォームのオートコンプリート無効設定を無視します。IE11がこのような仕様を決定し、Chrome、Firefoxも追従しました。

おはき゛サ゛はかいこ @hakaikosen

つまり、モダンなブラウザを利用していれば、サイト運営者の横暴を無視して、きちんとブラウザのパスワードマネージャ機構を利用することができます。これなら、サイトごとに別々のパスワードを設定する手間もかなり楽になりますね。サードパーティ製の信頼のおけるツールを探す必要もありません。

おはき゛サ゛はかいこ @hakaikosen

もちろん、パスワードマネージャに記録される情報は、ユーザごとに別々になるので、適切なユーザアカウント管理を行っていれば、漏洩することはまずありません。（実際は、ChromeなどはGoogleアカウントに紐付けて共有しているので、ちょっと不安ですが）

おはき゛サ゛はかいこ @hakaikosen

では、なぜIPAはブラウザのパスワードマネージャを使用しろと言わないのか。サイト運営者のオートコンプリート抑止設定を受け入れてしまう哀れなブラウザが、まだたくさん生き残っているからというのはあるかもしれません。でも、本質はブラウザ側ではありません。

おはき゛サ゛はかいこ @hakaikosen

レトロなブラウザのパスワードマネージャ機構が利用できないのは、オートコンプリート抑止設定をサイト運営者が行っているからです。サイト運営者へオートコンプリート抑止設定をするべきである、と（意図せず）啓蒙してきたのがIPAです。

おはき゛サ゛はかいこ @hakaikosen

意図せずと書いたのは、IPAとしては、サイト利用者へのセキュリティ対策としての、「利用者側で」オートコンプリートを無効にするという啓蒙活動しかした形跡が残っていないからです。IPAの資料はしばしばこっそり書き換えられるので、過去にどうだったかは今の僕にはわかりません。

おはき゛サ゛はかいこ @hakaikosen

どこかのマヌケはこれを見て、「運用者側で」オートコンプリートを無効にすべきと考えるようになったのでしょう。厳密にはIPAとどちらが先かはわかりません。いつから始まった教義なのかもわかりません。しかしながら、このマヌケの思想は現代まで受け継がれてきてしまいました。

おはき゛サ゛はかいこ @hakaikosen

かくして、僕が物心ついたころには、パスワードフォームのオートコンプリートは無効にされてしかるべきという教義が多数を占めていました。今もそうです。なんなら、キャンペーンに協賛している企業のサイトを見てください。autocomplete=“off”の記述を見ることができるでしょう。