尼崎市民40万人超えの個人情報が入ったUSBメモリーが紛失する事故が発生。USBメモリーにはパスワードがかかっていたが…IT技術の目線からデータ漏洩の可能性を紹介。
尼崎市民46万人のデータを紛失
「兵庫県尼崎市は23日、全市民約46万人の個人情報が入ったUSBメモリーを紛失したと発表した。」ことを共同通信が発表。（兵庫県尼崎市が全市民の情報入りUSB紛失）
現段階では情報の漏洩は確認されていないとしており、尼崎市側曰く「データの入ったUSBはパスワードがかかっている」とのこと。
桁数次第でパスワードは1秒で解読
万一、USBメモリーを紛失した理由が悪意のある他者からの盗難であるとするなら「パスワード解読・解析」のリスクを考慮しなければならない。
以下の表はブルートフォース攻撃を行った際、文字数・文字種類ごとに解読までにどのくらいの時間を要するかを示した表である。
※ブルートフォース攻撃…別名総当たり攻撃。
ページの都合上、表を確認するには元記事を参照してください。
・データソース: **\[OC\] I hope you find this one more beautiful than the last \- updated table on time to brute force passwords**
・検証GPUはRTX2080Ti
上記表・データソースからも分かる通り、パスワード解読されないようにするためには文字数と文字種類の両方を増やすことが重要であることがわかる。
紹介した本データは2年前にRTX2080Ti上でテストされた結果であり、2022年現在のハイパフォーマンスGPU・RTX3090などを枚数を増やして駆使すればさらに解読は容易になるだろう。
実際はもっと解読は容易
しかし、実際のところブルートフォース攻撃だけを使って地道に総当り式で解析することはあまりなく、よく使われるっパスフレーズと関連付けてより高速に解読ができるとRedditユーザーのIamfromSpace氏は投稿している。
クラッカーは、ただランダムに試すのではなく、辞書に基づいた賢いアプローチをとります。彼らはただランダムに組み合わせを推測するのではなく、パスワードダンプから構築された教育された推測をします。
"Pa$$word12345 "をブルートフォースするには200万年かかるかもしれないが、それは即座に破壊されるだろう。
つまり、「pasuwa-do」や「p@ssword」・「1111111」のようなよく使われる辞書をベースとした解析を行うと例え、文字種類が多かろうと文字数が多かろうと関係なく速攻解読されるリスクが孕むということだ。
対策としては、一般のウェブサービスの場合は2段階認証などを講じると簡単かつ安全なアカウント運用ができるがUSBメモリーなどの記憶媒体の場合は「パスワードをn回間違えると、データを消去・初期化」のような時限爆弾方式が効果的ではないだろう。
しかし、著者は「USBロック」がどのような種類のものかが判別出来ないのも懸念点だと思っている。一般にパスワード付きUSBとはバッファロー社やエレコム社が高信頼USBと謳って、AESで暗号化といった場合の製品を指す。
だが、WinRARのような圧縮解凍ソフトで単にファイルをパスワード付きZIP・RARにしただけの場合や、単なるフリーソフトで暗号化した場合でも「USBにパスワードをかけた」と表現できる。それらは個人用途を目的としたパスワードリセット制限のかからないものも多く存在するため、十分なセキュリティとは言えないだろう。(15時29分追記)
尼崎市の個人情報に関する担当者がランダムな数字・英語大文字小文字・記号のパスワードを指定し、なおかつ「p@ssword」のようなすぐ解読できるキーフレーズを用いていないという限定的な場合において「パスワードの解析は難しい」といえる。
しかし、前述の通り「担当者がパスワード文字長と文字種別」を会見で述べたことにより更に解析リスクが格段と高まっている。最悪の場合、「今後の再発防止に尽力する」だけでは済まない問題に発展しかねない。
Cover Image by Brina Blum on Unsplash
