パスワード四方山話の最近のブログ記事

パスワードをめんどくさいからつけない！誰に見られてもいいからつけない！

このようなことを言う人が、数年前に比べれば少なくなってきたとはいえ、まだたくさんいます。

何故か、管理人はこのことを考えると、自転車の鍵のことを思い出します。

「こんなボロイ自転車、誰も盗まないから．．．」とコンビニで鍵を掛けずに買い物していて、さあ、帰ろうと自転車に戻ってくると、

自転車は盗まれてなかったけど　鍵が掛かってる！！

自分の自転車なのに乗って帰れなくなってしまうわけです。

私の友達は高校生のとき、こんな目に遭い、必至に自分の自転車の鍵を開けようとしていて、警察に捕まりました。もちろん、防犯登録確認後に、開放されましたけどね。

パソコンでも、BIOSのパスワードを設定してしまうという意地の悪い嫌がらせがあります。Windowsが起動する前に、必ずBIOS画面というのが表示されます。パソコン起動時の最初の文字がバラバラ出るところです。実は、ここにもパスワードがありますが、一般の人はこれを設定することはありません。
ところが、このBIOSのパスワードを他人設定されてしまうと、あなたはパソコンを使うことができなくなってしまうのです。しかも、一般の方では、簡単に直すことはできませんから、修理センター行きになります。

ご注意くださいな。

心配な方は、BIOSのパスワードを設定しておきましょう。

衝撃的な話だが、なんと小学生の間で不正アクセスが流行している。

機会があって管理人が小学生と話をしていた時のことである。
「○○君は、パスクラされちゃったんだよね。」

パスクラ？

一般の人は、ピンこないかもしれないが、パスワードオタクである管理人は、もしやと思い聞いてみると、案の定「パスワードクラック」の略語だった。

＜用語＞
パスクラ（パスワードクラック）：パスワードを推測して当てること。暗号化されたパスワードを解読すること。
パスヌキ（パスワード抜き）：パスワードを盗み出すこと

正確には、用語の使い方は間違っているのだが、彼らが話していることは、明らかにパスワードを不正に利用されて被害にあったという"不正アクセス"の話であり、それを略語にして、日常会話の中で"パスクラ"とか"パスヌキ"とか話しているのだから驚きである。さらに詳しく聞いてみると、そこには驚愕の実態があった。（続く）

管理人は、興味津々で小学生のパスクラについて詳しく聞いてみた。

テレビコマーシャルでも、たびたび見かけるように NEXONの「メイプルストーリー」のような、パソコン上で遊ぶ無料のオンラインゲームが小学校高学年にまで、浸透してきている。オンラインゲームは、時間を掛けてキャラクターを育て、アイテムを増やし、ゲームの世界での自分の地位を向上させていくという指向のゲーム。ネットワーク接続された多くの人に、自分の強さやアイテムを自慢することが、喜びとなっていくのだ。このために、ネトゲ中毒、引きこもりなどの社会問題も起きている。

http://www.youtube.com/watch?v=8xJ_LW5JaII&feature=related

このネトゲーの回りで、小学生達の言うパスクラというものが、当たり前のように起きているという。

＜驚愕の不正アクセスの実態＞

• クラスの中で、標的とされる（イジメられる）子が、ネトゲーをやっていたとすると、その子に、こう話しかける。
  「お前のキャラクター凄いなぁ。俺もそんな強いキャラクター１度でいいから、使ってみたいよ。ねぇ、お願いだから１度だけ使わせてよ。１０分だけでいいから」
• 「いいじゃん友達なんだから、ＩＤとパスワードも教えられないのかよ！」
なんと言葉巧みに、ソーシャルエンジニアリングをして、ＩＤとパスワードを聞き出してしまう。
どうやら、この辺りのことを、パスクラ、パス抜き、などと言っているらしい。
• 教える方も、まだ小学生であり、ＩＤとパスワードを教えてしまうことへの抵抗感が少なかったり、強要されたりと、友達だからままいいだろうと、安易に教えてしまうようだ。
• ＩＤとパスワードを聞いたイジメッ子は、家に帰ると、そのＩＤとパスワードでネトゲーにログインする。
• そして、キャラクターを削除してしまったり、アイテムを全部売却してしまったりという悪事を働く。
• 次の日には、「俺は何もしてないよ。使おうと思ったら、お前のＩＤ使えなかった」とシラを切る。

このように、パスワード盗用と不正アクセスで、バーチャルとはいえ、友達の大切な財産を略奪するとういイジメの実態が小学生の間に広がっているというのだ。

パスクラによるイジメには驚いたが、さらに興味深いのは、彼らはこれを犯罪だと思っていないことだ。そしてさらに、絶対に逮捕されることはしたくないと、"逮捕"という言葉を恐れていたことだ。

「他人のパスワードでログインすると、逮捕されるんだよ」

と教えてあげると、

「ヤバイ、逮捕されちゃうのか？」

「じゃあ、アカを削除しなきゃ逮捕されない？」

「パスワードを聞きだすだけで、逮捕される？」

「聞いたパスワードを、ほかの友達に教えたら逮捕される？」

と、"何を逮捕される"ということへの質問が続いた。

小学校の情報教育において、セキュリティ（守る側）だけでなく、このあたりの何が犯罪なのかを教えていくべきだろう。

今まで、Yahoo!メールを使っていたが、G-Mailを使いたいと、知り合いに相談されたので、G-Mailのアカウントを取ってあげることにした。

ところが新規登録を進めていったら、最後の最後に、なんとなんと、携帯電話に電話するから、そこで聞いた確認番号を入力しろと出たのです。

管理人は、英語が全くできないので、Googleからの電話なんて受けられないと、ビビリました。
とりあえず、やってみると、即座に携帯に電話がかかり、日本語で確認コードを教えてくれました。その後の調査で分かりましたが、yahooメールなどのフリーメールのアドレスで登録しようとすると、電話確認が出てくるようです。

ショルダーハッキングという言葉がある。
これは、パスワードを入力するところを肩越しに盗み見するというハッキング方法だ。

そんなに簡単に両手の５本の指を駆使して入力すれば、そんなに簡単に盗み見できるわけではないが、キーボードが苦手で、一本指で入力したりすると、こりゃ簡単に盗めてしまう。

昔、管理人がまだヤンチャだったころ、会社のアドミニのパスワードをショルダーハッキングしたことがある。
その時は、あるエラーの調査を依頼に情報システムの担当者のところに行って、話をしていたら、その場でログインする場面に出くわしたわけだ。全部キーが見えたわけではなかったが、雰囲気は分かった。
ｂ、ｏ、と続く数文字のアルファベットの後ろに、上段の数字キーの部分を３文字ほど叩くパスワードのようだった。

ショルダーハッキングで、完全に盗み取れた訳ではなかったのだが、その担当者の机には旅客機の絵葉書が貼ってあった。これを見てピンとした。そう、ジェット機の型番だ。

あとで、サーバーにアクセスしてみると、ビンゴ！！！
別に悪さはしなかったが、パスワードオタクの管理人の喜びの瞬間であった。

ちなみに、これは不正アクセス禁止法施行前の話です。

自転車や郵便受けなどに使われている３～４桁の数字を合わせて開けるダイアルロックというものがある。もともと、さほどの強度を持っている鍵ではないので、時間をかければ開けられてしまうことはある。しかし、ひと目につくなどの抑止効果や、守るべきものの価値とのバランスなどで、その強度がそれほど問題になることもない。

このダイアルロックには、人の弱さに起因する意外な弱点がある。

ダイアルロックは、合わせるのが面倒なので、多くの人が、バラバラになるまでは回さないで、１～２個回しただけで施錠している。

もし、狙われた郵便ポストや自転車があったとしよう。

犯人は、毎日、そのダイアルの状態を記録する。３～４桁程度の数字なので、その場でメモする必要もなく、怪しまれることもなく、これを続ける。

すると、その数字の分布から、解錠できる番号が推測できるようになる。

こうして、鍵は開けられてしまう。

ダイアルロックは人の弱さを引き出してしまうので、その点を注意して利用したい。

２枚のパスワードカードを、アニメーションで交互に表示させてみました。

変わっていない部分が視覚的にわかると思います。

回答は、この画像をクリックすると、見れます！

会員制のホームページにアクセスするには、当然ながらＩＤとパスワードの入力が必要なのですが、実際に入力されたパスワードはどのように飛んで行くのでしょうか。

みなさんも聞いたことがあるかもしれませんが、ハッカーに中身を読まれないようにＳＳＬという暗号が使われることが多いのですが、ＳＳＬでないサイトもあります。

実際にログイン時に送信されているデータを覗き見するのに、とても便利なソフトがあります。
試用版で充分楽しめますから、是非、自分で実験してみてください。

ソフト名： WebTaster

ダウンロード： http://webtaster.com/