以前、家族が乗っ取り被害にあったのをきっかけに作ったセキュリティポリシーですが、昨今まだ情報漏洩のニュースが多く被害に遭う方も多いので、最新の状況にアップデートすることにしました。
↓下のは前回の。アップデート前のなのでみなくていいです。
前回同様、専門家ではないいち素人の私が考えた内容ですので、あらかじめご了承いただきつつ、誰かの参考になれば幸いです！
下記にて家族の情報資産をどのような脅威から、どのようにして守るのかについての基本的な考え方をまとめてみました。
基本方針
このポリシーを徹底するとともに、自己防衛できる範囲で最大限防御する方法を各自で考える。
一番肝となる「メールアドレス」を乗っ取りの脅威から最大限守る。（ここを取られると各種サービスのパスワードリセットがしやすく、芋づる式に乗っ取られるリスクがあるため）
サービス側を起因とした流出は個人じゃ防ぎようがないが、もし流出しても被害を最低限に食い止めるために、ID/パスワードの使い回しをしない。
ポイントはこの3つ！
- 入らせない
- 見せない
- 波及させない
乗っ取りイメージ
前回家族が乗っ取られた時の流れをたどってみます。
- アカウント/パスワードがバレる（下記想定原因）
- 他サービス流出を起因とし、パスワードの使い回しでバレる。
- 桁数が少ないことで解析されてしまう。（8桁以下）
- 送受信フォルダを見て使っているサービスを判断（もしくは主要サービスを想定）し、各サービスのログインIDとして乗っ取ったアドレスを利用し、片っ端から各サービスのパスワードリセットをかける。
- パスワードリセットをしてリセット用のメールの返信を乗っ取ったアカウントで受信し、任意のパスワードに変更。
- 各種サービスも芋づる的に乗っ取る。
防ぐ方法
上記から防ぐ方法をざっくり考えます。
- 入らせない(ログインさせない)
- パスワードの桁数をなるべく増やし、解析しにくくさせる。
- 二要素認証ができるものは必ずする。
- 見せない
- 一番大事なアドレスはサービス登録の際などでなるべく使わない。
- GmailとかAppleIDなどを表には出さない。要となるアカウントは乗っ取られたらパスワードリセットなども出来なくなりかなり詰む。
- 波及させない
- 違うサービスで同じパスワードは二度使わない。
対策
それぞれ詳細を見ていきます。
入らせない
まずはログインさせないようにするための対策を最低限やっておきたいところですね。
- 推察しにくい
- 解析しにくい
- 使い回ししない
- 二要素認証があるものは必ずする
という内容のパスワードになっているか確認しましょう。
二要素認証については、もしIDとパスワードが漏洩しちゃったとしても、まだ最後の砦として機能することも期待できるので、設定可能であればしちゃいましょう。
パスワードに関して具体の対策をまとめると下記のような感じです。
- パスワードの桁は、そのサービスが指定する最高桁数にする。（もし長すぎる場合や指定がない場合は20桁以上を目安に）
- パスワードには「アルファベット＋数字」は必ず入れる。記号も可能なら入れる。
- 同じパスワードの使い回し禁止（ログインIDが別だったとしてもNG）
- 二要素認証ができるサービスの場合は必ずする
- 二段階認証ができるサービスの場合は必ずする
- オフライン管理のセキュリティコードを活用できる場合は必ず発行する。(iCloud,1Passwordなど)
- GoogleやFacebook、Yahooなど、他社のサービスのログイン情報を連携したOAuth認証の利用禁止（芋づる回避のため。個別サービスでID/Passを登録する。）
- 家族のログイン情報を統合的に管理（管理者を置き、相互でバックアップ取れるようにする）
見せない
パスワードを堅牢にしつつ、次はログインIDです。おおかたメールアドレスを登録するケースが多いかと思います。
例えばメインのメールアドレスでいろんなサービスを登録しているとしたら、
- 他でも使っているログインIDと想定して様々なサービスでパスワード解析される
- 一つでもセキュリティの低いサービスでパスワードがバレる
- そこを起点に数珠繋ぎで乗っ取られるリスクが高くなる
と自分は思っています。しかもそれで本丸のメールアドレスのアカウント自体が乗っ取られたら、パスワードリセットもできなくなるので詰みになりやすいです。
そこで、なるべくIDで自分の大事なメールアドレスを使わないのが重要となります。
「え、毎回Gmailとかで新しいアカウント発行しまくるの？それめんどくない？」と思われた方、そんな面倒なことしなくて大丈夫です！
最近は「匿名メール」または「エイリアス*1メール」というものを発行できるサービスもいろいろ出てきました。匿名メールとは、自分のメインのアドレスにリンクされたランダムなメールアドレスを発行できるもので、例えばaaa@sample.comというメアドを持っていたら、a3djagdi@sample.comみたいなランダムな匿名メアドが発行され、a3djagdi@sample.comにメールが来ると、自動的にaaa@sample.comで受信できるので、管理上は一つのアカウントを使いながら複数のアドレスを使うことができるようになります。
有料なものがメインとなると思いますが、安心感はかなり大きいです。
詳しくはこのサイトがすごくわかりやすかったのでご参考までに。
私はiCloudの「メールを非公開」の機能を使っています。
Appleのデバイスを使っている人はSafari上で簡単にワンクリックで匿名メールが発行できるのでとても便利です。
波及させない
さて、ここまできたらID x パスワードの組み合わせが全部サービスごとで違うものに設定できるので、安心度が高まりましたね。
同じメールアドレスでいろんなサービスのログインIDにしているだけでマンションの一つ目のメインエントランスを突破されたくらいちょっと不安になってきません？
ここまでやれれば、Aというサービスで漏洩しても、Bというサービスまで巻き添えをくわなくなりました。IDもパスワードも違うからです。
これで、影響を最小限に食い止めることができるわけです。
管理方法
ここまでくると、よく言われることは、「覚えられるはずなくない？」っていう疑問ですね。そうです、そもそも覚えようとするから堅牢性が弱まるのです。
人間の頭で覚えようとすればどうしても、覚えやすくて入力しやすい短いパスワードを使い回しがち。それは楽ですが、リスクと隣り合わせです。
なので、むしろ「覚えない」という振り切り方が、一番漏洩対策には効くのです。
世の中にはパスワードを管理する手段がたくさんあります。
メジャーどころだと下記があります。
- 1Password（ワンパスワード）
- Lastpass（ラストパス）
- iCloudキーチェーン（AppleID利用者向け）
- Appleパスワードアプリ（この秋から登場予定。AppleデバイスのみならずWinも対応）
こういったサービスは管理するだけでなくパスワードの入力も補助するので、とても便利です。
パスワード管理ソフトは意外と昔からあり、IT歴が長い人は使っている人の方が多いのではと感じるほど。オンラインのサービスが増えてきた昨今の状況を考えても「使って当たり前」のソリューションとなっています。
ちなみに我が家は1Passwordを2012年頃から10年以上使っており、今は有料版のファミリーアカウントを家族全員で使っています。
ご参考までに、我が家の活用ルールは下記の通りです。
- 1Pass経由でパスワードを発行するもしくは、必ず1Passにパスワードを残す。その際、サイトURLもしっかり残す。（Watchtowerに監視してもらうため）
- ログイン時は手打ちではなく1Passに入力させる。
- 1Pass上で、リスクのあるサイトをWatchtowerで定期的に確認し、設定を見直す。
Appendix
おまけとして認証要素と認証方法の違いについてわかりやすく紹介されている記事のご紹介です。
ちょっとした習慣化が日々の安心につながると思います。ご参考になれば幸いです！
*1:エイリアスとは「別名」のこと。エイリアスメールを作るとは、「元々持っているアドレスを軸に、新しいメールアドレスを複数作る」ことで各サービスで使い分けができるようになる。エイリアスアカウントが流出しても、元々のログインで使うメアドではないためリスク回避になる。私はデコイ(囮)アドレスと呼んでいる。
