情報流出でわかった「最悪なパスワード」たち

「情報流出でわかった「最悪なパスワード」たち」の写真・リンク付きの記事はこちら

『LinkedIn』[ビジネスに特化したSNS]と、ある出会い系サイト（『eHarmony』のようだ）から約800万件のパスワードが流出し、6月7日（米国時間）にインターネット上に公開されたことは、おそらくみなさんも聞き及んでいることだろう。

「12345」というひどいパスワードはなかったが、それは単にLinkedInが6けた以上のパスワードを要求していたからにすぎない。流出パスワードのリストには、「123456」、「1234567」、「12345678」がちゃんと入っていた。「password」とならんで、最悪パスワードをいつも争っている面々だ。

「2011年の最悪パスワード25」のリストに挙がっているものはすべて含まれていた。そのほかにも、「ihatemyjob」（仕事がキライだ）、「fuckmylife」（俺の人生最悪）「nobama」（ノー・オバマ）、「iwantanewjob」（新しい仕事がほしい）などがあった。また不幸な求職者が少なくともひとり、「linkedinblows」（リンクトインむかつく）を使っていたようだ。「strongpassword」（強力なパスワード）さえもリークし、クラックされていた。

どうしてわかったかというと、流出からまもなくして、自分のパスワードが流出していないか、そしてクラックされていないかを調べることができる、『LeakedIn』というサイトが登場したからだ。（パスワードは、暗号化されたハッシュのかたちで流出したが、そのすべてがハッカーによって復号されたわけではなかった。ハッカーは800万件のパスワードに結びつくユーザー名を持っていると推測されるが、それらは公開されなかった。）



LeakedInの検索ボックスにパスワードを入力すると、流出したか、そしてクラックされたかについて教えてくれる。パスワードは流出したがクラックはまだ、と回答されることもある。

LeakedInではJavaScriptを使ってパスワードをハッシュ化し、そのハッシュ値と、流出したパスワードのリストとを照らし合わせている。クラックされているハッシュは、まだハッカーによってクラックされていないものから区別するために、サイトを運営している人たちによって、最初に「00000」を付けられた。

「今回の事件が意味することのひとつは、クラックされた大量のパスワードのリストが存在し、そのリストは成長を続けているということだ」と、LeakedIn開発に携わったひとりであるウェブサイト・デザイナーのクリス・シフレットは語る。「これらはレインボーテーブル[ハッシュから平文を得るために使われるテクニック]をシードするのに使われるだろうし、次に流出が生じたときに、パスワードをクラックするための辞書をシードする際にも当然、選択されるだろう。次に流出するのが、よりよいアルゴリズムを採用しsalt[システムが保持している秘密のランダム文字列]が使われたハッシュであっても、今回クラックされたパスワードが再び安全になることはない」

今回の事件でよかったことがあるとすれば、LeakedInにひどいパスワードを入れてみて何がリークしたかを見るのは面白かったということだ。筆者自身のパスワードはリークしていた（これは楽しいことだとはいえない）が、「supermario」（スーパーマリオ）や「frodolives」（フロド[『指輪物語』の登場人物]は生きている）といったパスワードは、予想どおり使われていた。

TEXT BY JON BRODKIN
TRANSLATION BY ガリレオ -緒方 亮