パスワードの文化史 - 古代の合言葉から生体認証まで、認証 3000 年の進化
この記事は約 12 分で読めます
パスワードは現代の発明ではありません。秘密の言葉で身元を確認する行為は 3000 年以上前にさかのぼり、ローマ軍の合言葉から中世の城門、1961 年に MIT で誕生した世界初のコンピュータパスワードから、今日のパスキーや生体認証に至るまで、長い歴史を持っています。この歴史を紐解くと、繰り返されるパターンが見えてきます。あらゆる認証方式はいずれ破られ、それが次の技術を生み出す原動力になるということです。本記事では、3000 年にわたる認証の文化的・技術的進化をたどり、パスワードのない未来が本当に実現するのかを考察します。
古代の認証 - 軍事パスワードと合言葉
ローマ軍の tessera と夜間哨戒
認証の最古の記録は、紀元前 2 世紀のギリシャ人歴史家ポリビオスの著作に見られます。ポリビオスは「歴史」第 6 巻で、ローマ軍の夜間哨戒における合言葉 (tessera) の運用を詳細に記述しました。パスワードの起源と歴史でも触れているとおり、毎日夕方、軍団長が木版 (tessera) に合言葉を刻み、各百人隊長を通じて全部隊に伝達しました。夜間の哨戒では、巡回兵が各哨所で合言葉を求め、正しく答えられない者は敵とみなされました。
この仕組みには、現代のパスワード管理に通じる重要な特徴がありました。第一に、合言葉は毎晩変更されました。これは現代のパスワードローテーションの原型です。第二に、合言葉は物理的なトークン (木版) で配布されました。これは「知っていること」と「持っているもの」を組み合わせた、原始的な多要素認証と言えます。第三に、合言葉の伝達経路が厳密に管理されていました。百人隊長から兵士への一方向の伝達は、現代の鍵配送問題を先取りしています。
中世ヨーロッパの城門と秘密結社
「開けゴマ」からフリーメイソンまで
「千夜一夜物語」に登場する「開けゴマ (Open Sesame)」は、おそらく世界で最も有名なパスワードです。アリババが盗賊の洞窟を開く合言葉として使ったこの物語は、8 世紀頃のアラビア語写本に起源を持ちます。興味深いのは、この物語がパスワードの根本的な脆弱性を描いていることです。アリババの兄カシムは合言葉を忘れて洞窟に閉じ込められ、命を落としました。「知っていること」だけに依存する認証の危うさを、1000 年以上前の物語が既に示していたのです。
中世ヨーロッパでは、城門の合言葉が軍事・政治の要でした。夜間に城門を通過するには、門番に正しい合言葉を告げる必要がありました。しかし合言葉だけでは不十分な場面もあり、ギルドや秘密結社はより複雑な認証を発展させました。フリーメイソンは秘密の言葉に加え、特定の握手 (ハンドシェイク)、身体の姿勢、質問と応答の定型パターンを組み合わせた多層的な認証を用いました。これは「知っていること」(合言葉) と「できること」(正しい握手) を組み合わせた、中世版の多要素認証です。
コンピュータ黎明期 - 世界初のコンピュータパスワード
1961 年 MIT CTSS と Fernando Corbató
世界初のコンピュータパスワードは、1961 年に MIT の Compatible Time-Sharing System (CTSS) で導入されました。開発者の Fernando Corbató は、複数のユーザーが 1 台のコンピュータを共有する環境で、各ユーザーのファイルを保護する手段としてパスワードを考案しました。当時のコンピュータは数百万ドルする巨大な装置で、時間を区切って複数の研究者が共有していました。パスワードは各ユーザーに 4 時間の利用枠を割り当て、他人のファイルにアクセスできないようにする仕組みでした。
しかし、世界初のパスワードシステムは導入からわずか 1 年で最初のセキュリティ事件を経験しました。1962 年、CTSS のソフトウェアバグにより、パスワードファイルの内容がウェルカムメッセージとして全ユーザーに表示されてしまったのです。これは記録に残る最初のパスワード漏洩事件です。また、研究者の Allan Scherr は、パスワードファイルを印刷するリクエストをシステムに送り、他のユーザーのパスワードを入手して自分の利用時間を増やしました。パスワードの歴史は、その誕生とほぼ同時に「破られる歴史」でもあったのです。
パスワードの保存方法も進化を遂げました。初期のシステムはパスワードを平文 (そのままのテキスト) で保存していましたが、1976 年に Robert Morris と Ken Thompson が UNIX 向けに crypt() 関数を開発し、ハッシュによるパスワード保存が始まりました。crypt() は DES 暗号を応用した一方向関数で、パスワードから固定長の文字列を生成しますが、その文字列から元のパスワードを復元することはできません。この「不可逆変換」の概念は、現代のパスワード保存の基盤となっています。UNIX の /etc/passwd ファイルはハッシュ化されたパスワードを格納する最初の標準的な仕組みとなりました。
パスワードの大量漏洩時代
RockYou から Collection #1 まで
2009 年の RockYou 事件は、パスワードセキュリティの転換点となりました。ソーシャルアプリ企業 RockYou がハッキングされ、3200 万件のパスワードが平文のまま流出しました。ハッシュ化すらされていなかったのです。流出データの分析により、最も多く使われていたパスワードが「123456」であることが判明し、ユーザーのパスワード選択がいかに脆弱かが白日の下にさらされました。上位 10 個のパスワードだけで全体の 4.7% を占めていました。
2012 年には LinkedIn が攻撃を受け、1 億 1700 万件のパスワードが流出しました。LinkedIn はパスワードを SHA-1 でハッシュ化していましたが、ソルト (ランダムな付加データ) を使用していなかったため、レインボーテーブル攻撃で大量のパスワードが短時間で解読されました。この事件は、単純なハッシュ化だけでは不十分であり、ソルトと反復処理 (bcrypt や Argon2 など) が必須であることを業界に知らしめました。
2019 年に発覚した Collection #1 は、過去最大規模のパスワード漏洩データベースでした。セキュリティ研究者 Troy Hunt が発見したこのデータセットには、7 億 7300 万件のメールアドレスと 2100 万件のユニークなパスワードが含まれていました。Collection #1 は単一の事件ではなく、過去数年間の複数の漏洩事件から集約されたデータです。この発見は、一度漏洩したパスワードがダークウェブで永続的に流通し続ける現実を突きつけました。これらの事件の詳細は有名なパスワード漏洩事件の歴史でも解説しています。こうした事件を経て、パスワードの使い回しが致命的であること、パスワードマネージャーの利用が不可欠であることが広く認識されるようになりました。
パスキーと生体認証の未来
パスワードのない世界は実現するか
FIDO Alliance が策定した FIDO2/WebAuthn 規格に基づくパスキーは、パスワードに代わる認証手段として急速に普及しています。パスキーとパスワードレス認証の記事で詳しく解説しているとおり、パスキーは公開鍵暗号方式を使用し、秘密鍵はユーザーのデバイスに保存され、サーバーには公開鍵のみが保存されます。つまり、サーバーが侵害されても秘密鍵は漏洩しません。2023 年に Apple、Google、Microsoft の 3 社がパスキーのサポートを本格化し、2024 年末時点で主要ブラウザの 95% 以上が WebAuthn に対応しています。FIDO Alliance の 2024 年レポートによると、パスキーを導入した企業ではフィッシング被害が 99.9% 減少しました。
しかし、パスワードのない世界の実現にはまだ課題があります。生体認証は便利ですが、指紋や虹彩は一度漏洩すると変更できないという根本的な問題を抱えています。2015 年に米国人事管理局 (OPM) がハッキングされた際、560 万人分の指紋データが流出しました。パスワードなら変更できますが、指紋は一生変えられません。また、パスキーはデバイスに紐づくため、デバイスの紛失や故障時のリカバリーが課題です。結局のところ、最も堅牢な認証は「知っていること」(パスワード)、「持っているもの」(デバイス)、「自分自身」(生体情報) の 3 要素を組み合わせた多要素認証です。3000 年の歴史が教えてくれるのは、単一の認証手段に頼ることの危うさなのです。
今すぐできること
- パスキーに対応しているサービス (Google、Apple、Microsoft、GitHub など) で今すぐパスキーを設定する
- パスキー未対応のサービスでは、パスつく.com で生成した強力なパスワードとパスワードマネージャーを組み合わせて使う
- すべての重要なアカウントで多要素認証を有効にし、「知っていること」と「持っているもの」の 2 層防御を構築する
- Have I Been Pwned (haveibeenpwned.com) で自分のメールアドレスが過去の漏洩に含まれていないか確認する
暗号と認証の歴史をより深く知りたい方には、パスワードとセキュリティの歴史に関する書籍 (Amazon)が、人類が数千年にわたって身元証明の課題にどう取り組んできたかについて興味深い洞察を提供してくれます。
よくある質問
- 世界初のコンピュータパスワードはいつ、どこで生まれましたか？
- 1961 年に MIT の Compatible Time-Sharing System (CTSS) で、Fernando Corbató によって導入されました。複数のユーザーが 1 台のコンピュータを共有する環境で、各ユーザーのファイルを保護するために考案されたものです。翌 1962 年にはソフトウェアバグによる最初のパスワード漏洩事件も発生しています。
- パスキーがあればパスワードは完全に不要になりますか？
- 現時点では完全な置き換えは難しい状況です。パスキーに対応していないサービスはまだ多く、デバイスの紛失時のリカバリーにはパスワードやリカバリーコードが必要です。当面はパスキー対応サービスではパスキーを使い、未対応サービスではパスワードマネージャーで強力なパスワードを管理する併用が現実的です。
- 生体認証は安全ですか？指紋が漏洩したらどうなりますか？
- 生体認証は利便性が高い反面、漏洩時に変更できないという根本的なリスクがあります。2015 年の米国 OPM ハッキングでは 560 万人分の指紋データが流出しました。生体認証は単独で使うのではなく、パスワードやデバイス認証と組み合わせた多要素認証の 1 要素として使うのが安全です。
この記事は役に立ちましたか？