パスワード・パスコード（８／３１）
◆　パスワードをブラウザに記憶させている人も多いと思う。IEの頃はパスワードは平文でファイルに格納されていたので、それを読み出せば簡単にパスワードを知る事ができた。IEが保存しているファイルを外部に送り出すウイルスソフトもあった。その後徐々にセキュリティ意識が高まるのだが、edgeはパスワードをメモリ上に平文で持っている。従ってそれを読み出すような仕掛けを作れば、edgeが持っているパスワードを知る事が出来る。

◆　パスワードは暗号のままログイン時に入力するわけには行かないので、パスワードの入力時には平文に戻す必要がある。だったらメモリ上に平文でおいておけば良いじゃないかというのがマイクロソフトの考え方だ。パスワードマネージャはパスワードを暗号化して保存しているが、入力時には当たり前ながら復号する。復号するが入力の完了と共にそれは消えてしまうので、メモリ内を探しても破片すら出てこない。

◆　使い終わったパスワードはメモリ上から消されるが、使う瞬間を狙えばメモリ上に平文でパスワードがある。と言う事は、PCを乗っ取られたら何をやっても同じじゃないかという理屈もある。しかし絶妙なタイミングで、しかもどのアプリが使っているかよく分からないメモリをダンプするのと、edgeという決まったプログラムの特定のエリアを覗き込むのでは難易度が違う。

◆　そもそもパスワードなど使うからいけないんじゃないのと言う事で、パスコードを使うものも増えている。これはハードウエアと対になったパスワードみたいなものなので、パスコードの文字列だけを盗んでもログインが出来ない。逆にPCごと盗まれるとかスマートフォンを持って行かれたら、その人間にログインを許す可能性が出てくる。

◆　生態認証なら良いじゃないかとか顔認証なら大丈夫だと言われるが、ログインが出来なくなった時の用意が必要だ。認証用の指を怪我したとか、指紋認証器が壊れたとか、色々な事が起きる。鍵を強固にする事は出来ても、それが実用的なのかと言われると必ずしもそうではない。

◆　パスコードを設定したPCが壊れてしまった、WindowsUpdateの後で立ち上がらなくなったなんて時にも困る。銀行では電話連絡するなどするとパスコードをリセットしてくれるのだが、本人確認が住所と生年月日だけだとしたら、それの方がセキュリティレベルが低い。だからといって銀行の支店まで本人が来いと言われたら、行く方も大変だし対応する方も大変だ。

◆　マイナンバカードで確認なども出来ない事は無いが、世の中に絶対はあり得ない。マイナンバー情報など世の中に氾濫している訳だし、警官を名乗る詐欺電話で本人確認のためにマイナンバーを読み上げろ、パスワードを教えろと言われたら騙されてしまう人もいるだろう。

◆　PCやスマートフォンが複数台ある人は、それぞれの機器でパスコードを設定しておくのが良いかも知れない。それもやり過ぎればセキュリティレベルが下がるわけだから、だったらハードウエアキーが良いという人もいる。結局電子認証ではなく物理的な鍵(鍵の形はしていないけれど)に戻るというのが何とも。

◆　今は見なくなった銀行のトークンもハードウエアキーみたいなものだから、結局アレが一番安全だったのかな。その後スマートフォンに暗号発生器アプリを入れるようになったが、ソフトウエアが分かってしまえば暗号発生のアルゴリズムも分かってしまう。