パスワード認証(パスワードにんしょう)とは | 意味や読み方など丁寧でわかりやすい用語解説

パスワード認証は、システムやサービスにアクセスしようとするユーザーが、本人であることを確認するための最も一般的で基本的な認証方式の一つである。これは、ユーザーが「知っていること」、具体的には秘密の文字列であるパスワードを根拠として本人確認を行う「知識要素」に分類される。ユーザーはあらかじめシステムに自身のユーザーIDと、それに対応するパスワードを登録する。ログインやサービス利用時に、ユーザーは自身のIDとパスワードを入力し、システム側で登録情報と入力情報が一致するかを検証することで、本人であると判断する仕組みだ。この認証は、不正アクセスを防ぎ、システム内のデータや機能のセキュリティを確保するための第一歩となる。多くのWebサービスや企業内システム、さらにはスマートフォンのロック解除など、あらゆる場所で利用されており、情報システムを安全に運用する上で不可欠な技術基盤となっている。その簡便さから広く普及しているが、その仕組みや安全性に関する理解は、システムエンジニアを目指す上で非常に重要である。

より詳細にその仕組みを見ると、パスワード認証は以下のステップで実行される。まず、ユーザーはログイン画面などで自身のユーザーIDとパスワードを入力し、システムに送信する。システム側は、入力されたユーザーIDに対応するパスワード情報を、事前に登録されたユーザーデータベースから取得する。この時、システムは入力されたパスワードとデータベースから取得したパスワードとを比較する。両者が完全に一致した場合にのみ、認証は成功と判断され、ユーザーはシステムへのアクセスを許可される。もし一致しなければ、認証は失敗し、アクセスは拒否される。

ここで最も重要なのは、システムがパスワードをどのように保存しているかである。セキュリティ上、パスワードをそのままの形で、つまり平文でデータベースに保存することは絶対に避けるべきである。もしシステムがサイバー攻撃などにより不正にアクセスされ、データベースの内容が外部に漏洩した場合、平文で保存されたパスワードは攻撃者にそのまま知られてしまい、ユーザーのアカウントが容易に侵害される危険性があるためだ。このリスクを回避するために、ほとんどの安全なシステムではパスワードを「ハッシュ化」して保存している。ハッシュ化とは、パスワードの文字列を特定の計算式であるハッシュ関数によって、元の文字列からは予測できない、固定長の別の文字列であるハッシュ値またはダイジェストに変換する処理のことである。このハッシュ関数は、同じ入力に対しては常に同じハッシュ値を生成するが、ハッシュ値から元のパスワードを復元することは極めて困難であるという「不可逆性」という特性を持つ。そのため、データベースにハッシュ値が保存されていれば、たとえデータベースが漏洩しても、攻撃者が直接パスワードを知ることはできない。

さらにセキュリティを高めるために、「ソルト」と呼ばれる技術が利用される。ソルトは、ユーザーごとに異なるランダムな文字列であり、パスワードがハッシュ化される前に、そのパスワードに付加される。例えば、同じ「password」というパスワードを使っている複数のユーザーがいても、それぞれ異なるソルトが付加されるため、生成されるハッシュ値は全て異なるものとなる。これにより、攻撃者が事前に計算したパスワードとハッシュ値の対応表である「レインボーテーブル」を使った攻撃を防ぐ効果がある。また、「ストレッチング」、より正確には鍵導出関数（KDF）のような手法も併用されることがある。これは、パスワードのハッシュ化処理を意図的に何度も繰り返すことで、ハッシュ値の計算に時間を要するようにする技術である。これにより、攻撃者が膨大な数のパスワード候補を試す「ブルートフォース攻撃」を実行しようとした際に、一つ一つのパスワードの計算に時間がかかり、攻撃にかかる総時間を大幅に増大させ、攻撃の成功を困難にする効果がある。

パスワード認証は便利で広く普及している一方で、いくつかの課題とそれに伴うリスクが存在する。最も一般的な問題は、ユーザーが「推測されやすいパスワード」や「使い回しのパスワード」を設定してしまうことである。安易なパスワードは辞書攻撃やブルートフォース攻撃によって容易に破られ、パスワードの使い回しは、一つのサービスから漏洩したパスワードが他のサービスでの不正ログインに繋がる「パスワードリスト攻撃」の被害を拡大させる。これらの問題を緩和するため、多くのシステムでは「パスワードポリシー」を導入している。これは、パスワードの最小文字数、大文字・小文字・数字・記号の組み合わせなどの複雑性要件、および一定期間でのパスワード変更を強制するなどのルールを指す。システム側では、ログイン試行回数を制限する「アカウントロックアウト」や「レートリミット」といった対策も講じられる。これは、一定回数パスワードを間違えると一時的にアカウントをロックしたり、ログイン試行の間隔を強制的に遅らせたりすることで、ブルートフォース攻撃や辞書攻撃の効率を低下させる。

また、ユーザーが正規のサイトを装った偽サイトに誘導され、そこでパスワードを入力させられる「フィッシング攻撃」もパスワード認証を狙った代表的な脅威である。これには、ユーザー自身のセキュリティ意識の向上と、サイトの正規性を確認する習慣が重要となる。マルウェアによる「キーロガー攻撃」も存在する。これは、ユーザーがキーボードで入力した内容を秘密裏に記録し、攻撃者に送信するもので、パスワードが漏洩する原因となることがある。現代のセキュリティにおいては、パスワード認証単独での利用では不十分と見なされることが増えている。そこで、パスワード認証を補完するために「多要素認証（MFA）」や「二段階認証」が導入されることが一般的である。これは、パスワードという「知識要素」に加えて、スマートフォンに表示されるワンタイムパスワードや物理的なセキュリティキーといった「所有要素」、または指紋や顔認証のような「生体要素」のうち、少なくとももう一つの要素を組み合わせることで、たとえパスワードが漏洩しても、不正アクセスを困難にする仕組みである。これにより、パスワード認証のセキュリティレベルを飛躍的に向上させることが可能となる。