紙だけでサイトごとに異なるパスワードを生成する暗号、米研究者が考案

　米国のセキュリティ研究者Steve Gibson氏が、ソフトウェアを使わず、紙の上に印刷された文字の表を使用するだけで、安全なパスワードを生成できるシステム「Off the Grid」を考案したと主張している。システムの数学的仕組みと利用方法は同氏のウェブサイトにて公開しており、パブリックドメインとなっている。これはソフトウェアではないことに注意されたい。

　現在、多くの人は複雑なパスワードを覚えられないため、複数のウェブサイトでパスワードを使い回してしまい、最悪の脆弱性となってしまっている。

　この問題は多くの人が認識しているが、ウェブサイトごとに別々の強力なパスワードを作ることは難しいと思われてきた。

　そのため、パスワード管理ソフトの利用者も多いが、そうしたソフトが使用できない環境にある場合やパスワードを満載したUSBメモリを持ち歩きたくない場合、旅先などでは不便が伴う。また、パスワード管理ソフト自体に脆弱性が存在する場合、想定できないような危険をもたらす。これは実際にパスワード保管ソフト「LastPass」で起こったことで、多くの人に改めて認識された。

　そこで、もしテクノロジーに依存せず、紙に書き記した情報だけで、各ユーザーがパスワードを簡単に生成するルールを覚えることさえできれば、問題の大部分を解決できるのではないかとGibson氏は考えた。

　「Off the Grid」では、26×26マスの表にアルファベットの文字が書かれている。目標はこの表を使って、パスワードを作りたいウェブサイトのドメイン名から、十分に安全なパスワードを生成することだ。そうすれば、この紙に印刷された表さえ持っていれば、複雑なパスワードをいつでもその場で作り出せるからだ。

　表は「Off the Grid」のページで生成し、印刷できる。表を作り出すページはJavaScriptで記述されているため、必要なら誰でも安全性を検証できる。

　この表の構造自体に「ラテン方陣」と呼ばれる数学的な仕組みが備わっており、そこにルールを組み合わせることによって、システム自体は計算機科学でよく知られている「有限オートマトン」となっている。Gibson氏によれば、アルファベットからアルファベットへと置換するシーザー暗号から、Four-Square暗号表などから安全にパスワードを生成できないか検討している際に、検討している内容がラテン方陣であることに気付いたとしている。同氏によれば、ラテン方陣が暗号に使用されている例は他に知らないという。ラテン方陣の数学的構造についてはよく知られていることも、この仕組みのメリットとなる。

　ラテン方陣の特徴から、作成可能な表の種類は9.337×10の426乗個以上である。例えばAmazonのような巨大サイトであったとしても、別々の表を使用すれば、同じパスワードが生成されることは決してないと保証できるという。このような広大な空間を使用するため、現在使用されているAES/Rigindael暗号と匹敵するか、あるいはかなり強力な暗号だと主張できそうだ。

　表の使用方法はGibson氏のページにイラストとともに詳細に説明されている。ドメイン名のアルファベットの順番に表を縦、横、縦、横……というふうに道筋をたどっていくことから始める。最後の文字に行き着いたら、そこからさらに2文字ずつ縦、横……というふうに逆方向に進み、各文字ごとに並べられた2文字ずつを取り出し、合計12文字のパスワードが生成できる。

文字列「amazon」から生成されるパスワードの例

　この暗号システムは提案されたばかりであり、今後多くのセキュリティ研究者によって検証される必要があることは言うまでもない。しかしながら、使用されている原理はよく知られたものばかりであるため、比較的早急に結果が出る可能性もある。また、ソフトウェアとして実装するわけではないため、それに伴う脆弱性が発見されることもない。

　使用方法としては、ウェブサイトごとに別々のパスワードを生成するといったものから、2人の人物が同じ表を持ち、暗号化されたメールをやりとりすることなども可能となる。また、普段はパスワード管理ソフトを使用しながら、そのマスターパスワードとして、この表に基づくパスワードを使用することによって、さらに強力なパスワード管理を行うこともできるだろう。