【週末雑談】twitterのセキュリティ攻撃と自分のパスワード管理について

ご存じの方も多いと思いますが、セキュリティ攻撃により約25万人のtwitterユーザーのパスワードが漏洩してしまったようです（公式ブログ）。漏洩の可能性があるユーザーには既にパスワードのリセットのお願いが来ているようです。（さすがに某社のように平文パスワードを保管しているなんてことはなかったようで）漏洩したパスワードは暗号化済なので大丈夫とは思いますが用心に越したことはありません。

使うネットサービスの数が増えてくる中で、ユーザーとしてパスワードをどう管理するかはなかなか悩ましい課題です。理想的にはサービスごとに別のパスワードを使えばよいのですが、現実問題としてなかなかやってられません。

確実に言えるのは、メールアドレスをユーザーIDとして使うサービスにおいて、そのパスワードがIDのメールアドレス自体のパスワードと同じというのは絶対避けるべきということです。セキュリティ攻撃をするまでもなく、ダミーのサービスを立ち上げて、メアドとそのパスワードを収集する輩がいる可能性が十分あり得るからです。メールアドレスとパスワードのペアを盗まれて詐欺の踏み台にされると結構厳しいですね。ちょっと前に、Gmailのなりすまし事件が何件か発生したと思いますが、この方式でパスワードが盗まれたのではないかと推測しています。

また、自分の場合は、PayPal等の金銭を扱うサービスは別のパスワードを使ようにしています。メールサービスごとのパスワード、通常のネットサービスのパスワード数種類、金関係のパスワードの使い分けで（完璧とは言えないですが）一応リスクは抑えられるんじゃないかと思っています。

それから、パスワードの決め方ですが、ディクショナリーアタックを防ぎつつ自分で覚えやすくするように、気に入った英語のフレーズを決めてその単語の頭文字を並べるやり方にしています。たとえば、”money does not grow on trees”で覚えられる”mdngot”というパスワードを使うなどです（これだとちょっと文字数足りないですが）。これは、わりと有名な手法だと思いますがご紹介しておきます。