そのパスワード、見えてるよ

パスワードを忘れる

Windows のログインパスワードや、USBメモリにアクセスするためのパスワードを皆さんはどのように設定していますか。「パスワード」なんだから他人には絶対に推測できないパスワードになっていますか？

私が新人のころは、初めてUNIXのログインパスワードを設定するだけで、「ウゥ～ン」と頭をひねって「これなら」というパスワードを考えたものです。気に入らなくなるパスワードを変更したり、いくつもの候補を用意していました。

で、パスワードを使い回しているうちに、「今のパスワードってなんだたっけ？」なんてことになっていました。どのパスワードをどこで登録したのかわからなくなってしまうんです。私が設定したUNIXのrootのパスワードを忘れたときには、先輩にひどく怒られたものです。当たり前です。。。

パスワード盛り

今の時代、インターネットでユーザ登録する機会が本当に増えてしまいました。メルマガ、インターネットバンキング、Amazonのアカウントであっても、とにかく会員登録するサイトでは必ずパスワードを設定することになります。それぞれ違うパスワードを設定するなんて暴挙にでれば、頭の中はそぐにオーバーフローしてしまいます。サイト毎に異なるパスワードを設定するなんて絶対に無理なことです。最初の1、2サイトまではいいんですが、登録するサイトが増えるにしたがって、「なんて馬鹿なことをしたんだ」と悔やむこと、間違いありません。

UNIXでの原理原則

そもそも、MS-DOSのころは、パスワードを入力する操作なんて必要ありませんでした。UNIXのようにマルチユーザ環境ではなかったため、電源を入れればすぐに使うことができました。今のXPにしても設定すればユーザ名、パスワードの入力操作を省略することができます。パスワードに関してあまり神経を使っていないOSのようです。

でも、UNIXはマルチユーザ環境を提供するＯＳです。作業をするためにはユーザ名とパスワードを入力してログインする必要があります。このログイン時に入力したパスワードは画面に出力しません。Windows などのように '*' を表示することもありません。パスワード入力時はキーボードで何を入力しても応答がありません。最後のリターンだけに反応します。

パスワードの取り扱いについて、UNIXというOSはとにかく神経を使っています。

• 入力するパスワードは画面に出力（エコー）しない。覗き見防止です。
• パスワードを元のまま保存しません。保存している情報はハッシュ値です。
• パスワード長、文字の組み合わせも制限できます（設定すれば）。

不用意なUNIX管理者

ところが、UNIXシステムを管理するエンジニアの中には、そこまで気を使っているパスワードをいとも簡単に公開してくれたります。本人に悪気はないと思いますが。。。

UNIXはマルチユーザ環境であり、マルチプロセスなOSでもあります。誰かが gcc をソースプログラムから丸2日かけてコンパイルしている最中でも、ｆｔｐ でファイルをダウンロードすることができます。

ここでもし、「mysql -uroot -pRootPass 」などのコマンドを入力して、データベースの保守を行っているエンジニアがいたら、どうなるでしょうか。そうです。ログイン中の一般ユーザであれば、誰でも　データベースの管理者のパスワードを拝見することができるんです。もう、気付かれましたか？

正解は ps コマンド。UNIXで処理中のプロセスは ps コマンドで確認することができます。起動時に入力したパラメータ情報もです。つまり、だれかが mysql -uroot -pRootPass と入力して作業をしている最中に、他の誰かが ps -efwww とでも入力すれば、たちどころに RootPass は無防備に画面に表示されるはずです。

「パスワード入力っていちいち面倒くさいなぁ。コマンドラインでパスワードが入力できれば、一連の処理をバッチファイルにかけるのになぁ～。」そんなふうに思っている方も多いことでしょう。でも、コマンドラインでパスワードを絶対に入力してはいけません。大事なパスワードを裸にしてどうするんです。

パスワードの取り扱い

ここ数年、機会あるごとに、パスワードの管理についてお願いしてきました。

• パスワードをノートに絶対にメモしない。
• パスワードを声に相手に出して伝えない。
• メールでパスワードを送信しない。
• パスワードを構築手順書に書かない（お客様から要求された場合は別ですが）。
• コマンドラインでパスワードを入力しない。

私がパスワードを伝えるときは、キーボードに指を置きながら「ここ、ここ、それにここ。。。」なんて感じで伝えています。パスワードの取り扱いにはくれぐれもご注意を。