要約

  • 10月9日のARINの案内は、事故や不審な動きへの対応ではないと説明したうえで、パスワードを「最近」変更していない利用者に更新を勧めた。ただし、その期間は示していない。
  • 投稿は、他サービスとのパスワード使い回し、信頼できない端末やネットワークでの入力、古いパスワードの弱さを一つの助言にまとめている。漏えいの疑い、侵害の証拠、強度の改善は同じ問題ではなく、行動を起こす条件も異なる。

助言は期限ルールではない

ARINのサイバーセキュリティ月間の記事にある中心的な文は、更新期限を告げる通知ではない。最高情報セキュリティ責任者のChristian Johnson氏は、ARIN Onlineのパスワードを「最近」変更していない利用者に、少し時間を取って更新するよう呼びかけた。同時に、事故や不審な活動への対応ではないと明言している。いつまでに変えるべきか、最大何年使えるのか、どの利用者が必ず対応すべきかは示していない。

この違いは重要だ。セキュリティ担当者は、既存の管理策に問題が起きたと公表せずに、低コストの予防策を勧められる。しかし「最近」だけでは、数カ月なのか数年なのか、あるいは利用者が秘密を信頼できなくなった時点なのか分からない。ARINの公開アカウント案内は、個人が登録情報、資源申請、移転を管理する方法や、DNSSEC、RPKIといった機能へのアクセスを説明している。すべてのARIN Onlineアカウントに多要素認証（MFA）が必要で、組織や資源の記録を管理する人は各自の個人アカウントを持つべきだとしている。一方、利用者向けパスワードの有効期間は定めていない。

確認できた資料が裏付けるのは、公開期限のない任意のパスワード更新案内が出されたという範囲までだ。ARINが顧客に定期変更を強制している、システム上の更新期限が迫っている、あるいはアカウントが侵害された、とは言えない。

三つのリスクに一つの時計は使えない

Johnson氏は、パスワードを見直す理由を三つ挙げた。他のサイトで同じ秘密を使っていて、そのサイトが侵害された可能性。信頼できない端末やネットワークで入力した可能性。そして、古いパスワードが今日設定する長いものより弱い可能性だ。いずれも起こり得る状況だが、ARINで報告された事象ではない。

最初の二つは、秘密が外に出たかという問題である。別のサービスで使い回したパスワードが漏えいしたなら、同じものを使うすべてのアカウントで変更が必要になる。ARIN分だけ変えても、他の使い回しは残る。入力内容を記録する可能性のある端末で打ち込んだ場合は、パスワードやセッションが観察されたかを考える必要がある。定期的な案内は行動のきっかけにはなるが、どのサービスを点検すべきか、開いたままのセッションを確認するべきかまでは教えてくれない。

三つ目は性質が違う。攻撃者に知られていなくても、パスワードの強度が不足していることはある。その場合は、長くて他で使っていない秘密に置き換える。できればパスワード管理ツールで生成・保存する。年齢だけで侵害の証拠とみなす必要はない。ARINの投稿も、長いパスワードを勧め、古いものの末尾を少し変えて再利用する方法を戒め、管理ツールを提案している。

ARIN Onlineは通知を読むだけのアカウントではない。公開案内によれば、登録情報の管理、インターネット番号資源の申請と移転、DNSSECやRPKIの機能へのアクセスに使われる。利用者は個人アカウントを組織に関連付けられた連絡先情報に結び、その関連付けによって記録管理に必要な権限を得る。したがって、会員や運用者にとってアカウントの完全性は実務上重要だ。ただし、パスワードが盗まれれば自動的に経路情報が変わるという意味ではなく、そのような悪用が起きたという証拠もない。

比較の基準にはなるが、適合性の判定ではない

最終版のNIST SP 800-63B-4は、設計を考えるうえで参考になる。同指針の対象となる検証者や認証サービス提供者には、パスワードの定期変更を要求しない一方、認証器が侵害された証拠がある場合は変更を強制するよう求めている。利用者体験に関する説明も、恣意的な周期変更を避け、使い回しのないパスワードや管理ツールを重視する。

ここでは設計上の比較対象として使っており、NISTの規則がARINを法的または契約上拘束するとは述べていない。さらに、ARINの投稿は助言である。任意の案内だけで、強制的な定期変更を禁じる規則に反するわけではない。一般的な注意喚起を義務的な期限に変える場合や、時間の経過だけでアカウント侵害の証拠があるとみなす場合には、初めて実質的な違いが生まれる。確認したARINの公開資料に、そのような仕組みは見当たらない。

問うべきなのは、全利用者が更新案内を無視するべきかではない。いつ行動するのかが明確かどうかだ。漏えいを疑う人は速やかに秘密を変更し、アカウントの復旧手段やセッションを確認する。単に古くなった人は、強くて使い回しのないものに改めればよい。ARINは認証アプリ、SMS、セキュリティキーまたはパスキーによるMFAを提供し、CISOは後者を最も強い選択肢としている。FAQによると、一つのアカウントで有効にできる方式は一つで、復旧には一度だけ使えるコードか、本人確認を伴うサポートが用意されている。認証方式を変更するときは復旧経路も把握しておく必要がある。アクセスを取り戻せることも管理策の一部だ。

出典