パスワードは、インターネット上の危険から身を守るために生まれたのでしょうか。
結論からいうと、出発点は少し異なります。
パスワードの基本的な役割は、利用者が「自分である」と示し、ほかの人の情報と自分の情報を区別することです。
この役割は、複数の人が一台のコンピューターを共有していた時代から必要とされてきました。
起源を知ると、パスワードだけに多くを期待しすぎないこと、そして使い回しを避ける意味が分かりやすくなります。
「合言葉」という考え方はコンピューター以前からあった
パスワードという言葉は、もともと通行や身元確認の際に使う「合言葉」を指す言葉として使われてきました。相手が知っているはずの秘密の言葉を答えられるかで、通してよい相手かを判断する考え方です。
ただし、合言葉には弱点があります。誰かに聞かれたり、盗み見られたりすれば、その人も同じ言葉を使えてしまいます。これは現代のオンラインサービスでも同じです。パスワードは本人の身体そのものを確かめるものではなく、「秘密を知っている人」を確かめる方法です。
コンピューターのパスワードは共有利用のために広がった
初期のコンピューターは高価で、組織内の多くの利用者が一台を順番に、または同時に使う形が一般的でした。そこで必要になったのが、利用者ごとの作業領域や保存したファイルを区別する仕組みです。
1960年代初め、米国マサチューセッツ工科大学で開発された時分割システムの一つであるCTSSでは、利用者を識別し、個人のファイルへのアクセスを分けるためにパスワードが用いられました。これは、コンピューター上のパスワード利用の初期のよく知られた例です。
時分割とは、一台の大型コンピューターの処理時間を細かく分け、複数の人が端末から使えるようにする方式です。ここでのパスワードは、今のようなネット通販の決済を守るためというより、「同じコンピューターを使う別の利用者から、自分のファイルを分ける」ための道具でした。
パスワードは「本人確認」ではなく「秘密を知っていること」の確認
認証には、大きく分けて三つの手がかりがあります。知っているもの、持っているもの、自分自身の特徴です。パスワードはこのうち「知っているもの」に当たります。認証アプリが表示する確認コードや、端末への通知は「持っているもの」に近い手がかりです。指紋や顔による認証は、自分自身の特徴を使います。
パスワードだけでログインする場合、サービス側は入力した文字列が登録されたものと合うかを確認します。入力した人が本当に登録者本人かどうかを、パスワードだけで直接見分けているわけではありません。そのため、パスワードがフィッシングサイトに入力されたり、別のサービスから漏れたりすると、第三者に使われるおそれがあります。
起源から分かる、今も変わらない二つの注意点
一つ目は、同じパスワードを複数のサービスで使わないことです。共有コンピューターで他人の領域に入れないようにする仕組みだったパスワードは、サービスごとに異なる秘密であることが前提です。一つの秘密を使い回すと、あるサービスで知られた文字列が、別のサービスのログインにも試される可能性があります。
二つ目は、パスワードを入力する相手を確かめることです。パスワードの強さを長さや文字の種類で高めても、偽のログイン画面に自分で入力すれば秘密は渡ってしまいます。メールやメッセージ内のリンクから急いで入力せず、普段使うアプリや保存済みの正規ブックマークから開く習慣が役立ちます。
パスワードが不要になる場面があっても、管理は残る
近年は、端末で本人確認をしてログインするパスキーのように、サービスへパスワードを送らない方法も使われています。これはパスワードが抱える、盗み見やフィッシングで秘密そのものを渡してしまう問題を減らす方向の仕組みです。
しかし、パスキーを使う場合でも、端末のロック方法、アカウントの復旧手段、機種変更時の引き継ぎは管理する必要があります。大切なのは「パスワードがあるかないか」だけではありません。どのサービスにどの方法で入れるのか、復旧のために何が必要かを把握しておくことです。
パスワードは、古い仕組みだから無意味になったのではありません。秘密を知っていることを確かめる、という限界を持つ仕組みです。その限界を理解し、サービスごとに異なるパスワードを使い、二段階認証やパスキーを選べる場面では検討することが、現在のアカウント管理の基本になります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。