このページの目的はたった一つ。
PGPなどの暗号ソフト、セキュリティプログラムで使うパスフレーズを作るための、
よりよい方法をあなたに伝えることだ。
このページは暗号に関する予備知識を持たない人向けに書かれている。
このページの目的はたった一つ。
PGPなどの暗号ソフト、セキュリティプログラムで使うパスフレーズを作るための、
よりよい方法をあなたに伝えることだ。
このページは暗号に関する予備知識を持たない人向けに書かれている。
Original Text by Arnold G.Reinhold
Japanese Translation by Hiroshi Yuki
翻訳：結城浩
以下の文章は、原著作者 Arnold G.Reinhold 氏の許可を得て、
Diceware Passphrase Home Page を翻訳したものです。
原文は http://world.std.com/~reinhold/diceware.html を参照してください。
パスフレーズとは、単語や文字の列であって、 あなたがコンピュータにタイプすることで確かにあなた本人であるとコンピュータに知らせ、 特別なこと（秘密のメッセージを暗号化したり復号化したりすることなど）をコンピュータにさせるためのものである。 例えば、Phil Zimmermannの作ったポピュラーな暗号化ソフト PGP を使うためには、 あなたは自分のパスフレーズを作る必要がある。 文章に署名したり暗号を復号したりするときには、 あなたはそのパスフレーズを入力しなくてはならない。
パスフレーズとパスワードの違いはその長さだけである。パスワードはたいてい短い。６〜１０文字である。パスフレーズはたいていもっと長い。１００文字やそれ以上になることもある。パスフレーズはパスワードよりも長いので、パスフレーズの方が安全 (secure) である。現代のパスフレーズは Sigmund N. Porter が 1982 年に発明した。
コンピュータ上のデータや文章のプライバシーを保つためにあなたができる最も重要なことは、 よいパスフレーズを選ぶことである。パスフレーズは以下の特徴を持つべきである。
ダイスウェア (Diceware) とは、ダイス（さいころ）を使って「ダイスウェア単語一覧」と呼ばれる単語一覧から単語をランダムに選び、パスフレーズを作る方法のことである。その単語一覧では、各単語の前に 5個の数字がついている。各数字は1から6の間になっている。したがって、5回ダイスを転がすと、単語一覧から一つの単語を得ることができる。
以下に「ダイスウェア単語一覧」からの短い抜粋を示す：
16655 clause
16656 claw
16661 clay
16662 clean
16663 clear
16664 cleat
16665 cleft
16666 clerk
21111 cliche
21112 click
21113 cliff
21114 climb
21115 clime
21116 cling
21121 clink
21122 clint
21123 clio
21124 clip
21125 clive
21126 cloak
21131 clock
完全な「ダイスウェア単語一覧」 は 7776 個の短い英単語、省略形、そして思い出しやすい文字列からできている。各単語の平均長は4.2文字である。最も長い単語は 6 文字である。この一覧は Peter Kwangjun Suk がインターネットニューズグループ sci.crypt にポストした、もっと長い単語一覧を元にしている。
「ダイスウェア単語一覧」を使うには一個以上のダイス（さいころ）が必要である。ダイスはボードゲームに付属してくることも多いし、おもちゃ屋、趣味の店、手品の店などで単独でも売られている。トイザらスではダイスの５個セットが$1.49で売られている。
勧めにしたがって、５単語からなるパスフレーズを作るとしよう。５×５すなわち２５回ダイスをふる必要がある。例えば出た目が以下のようであったとする。
1, 6, 6, 6, 5, 1, 5, 6, 5, 3, 5, 6, 3, 2, 2, 3, 5, 6,
1, 6, 6, 5, 2, 2, それから 4
紙に５個づつまとめて結果を記入する。
1 6 6 6 5
1 5 6 5 3
5 6 3 2 2
3 5 6 1 6
6 5 2 2 4
それから各５桁の数を「ダイスウェア単語一覧」から探し出し、その隣に書いてある単語を書き留める。
1 6 6 6 5 cleft
1 5 6 5 3 cam
5 6 3 2 2 synod
3 5 6 1 6 lacy
6 5 2 2 4 yr
パスフレーズは以下のようになる。
cleft cam synod lacy yr
1 2 3 4 5 6 ←三回目 1 A B C D E F 2 G H I J K L 3 M N O P Q R 4 S T U V W X 5 Y Z 0 1 2 3 6 4 5 6 7 8 9 ↑ 四 回 目
インターネットにはどうやってパスフレーズを選ぶかについて、非常に多種類のアドバイスがある。よいアドバイスも多いが、中にはよくないものもある。しかしほとんどすべてのアドバイスは、「何が他人に推測しにくいか」という判断をユーザに要求する。どうやってその判断をするかについては説明していなかったり、複雑な数学的な計算をあなたにしろというものもある。それに比べれば、ダイスウェアのパスフレーズ生成方法は以下の長所を持っている。
ダイスウェアの「完全に規定されている」という性質は PGP の新規ユーザにとってはとても重要である。以下に述べるのは、 インターネットのニューズグループ alt.security.pgp に 1996年の1月に投稿された、ある人の経験談である。
「私は、個人的な話をしたいと思います。それは、安全なパスワードを選択するのがいかに大切かを確信するのは初心者にとってどんなに難しいか、そして安全なパスワードをどうやって構成するかを初心者に理解させるのがどんなに難しいか、という話です。私はインターネットとセキュリティ関連について長い経験を持っています。一方、私の妹はまったくの初心者でインターネットのアカウントを開設したばかりです。妹は[ 中西部 ] に住んでおり、私は [ 西海岸 ] に住んでいます。そのため、私たちはとても個人的な電子メールを大量にやりとりしています。
最近、妹は自分のインターネットのパスワードをご主人に教えたいと思いました。そうすれば、ご主人もインターネットが使えるからです。しかしまた、妹は、ご主人が読めない個人的なメッセージの交換を私とできるようにしたいとも望んでいました。私はもちろん妹に PGP を紹介しました。
他人が簡単に推測できないパスワードを選ぶのは大切である。それから理想的なパスワードは、他では意味をなさないナンセンスな単語である。…私は妹にそういう通常のレクチャをしました。私は、誕生日、記念日、名前は選んじゃだめだと話しました。私はランダムな文字や数字の組み合わせについては教えませんでした。というのは私たちは世界的な規模のセキュリティを必要としているわけではなく、単に私たちの手紙を妹のご主人に見られたくないだけだったからです。さて、それで、妹がPGPパスワードを選んだ後で、私はそれを破ってみようと思いました。ところが、しょっぱなの単語がずばり的中してしまったのです！ あまりにもあっさりと私が見つけてしまったので、妹はびっくりしてしまいました。でも妹の選んだ単語というのは妹を知っている人なら誰でも試しそうな語だったのです。そこで私はパスワード選択についてのいくつかのコツを妹に授けました。その後でもう一度妹にパスワードを選ばせました。今度も、３回トライしたら正しい語を見破ってしまいました。とうとう妹は降参し、私がパスワードを選んであげたのでした。」
もしもこの記事を書いた人の妹さんがダイスウェアを使ったとしたなら、彼女が最初に作ったパスフレーズでも完全に安全であり、彼女以外に知られることはなかったでしょうに。
パスフレーズとダイスウェアについての情報は以下を参照してください。
PGP パスフレーズ使用についての調査 (A Survey of PGP Passphrase Usage) PGPユーザがパスフレーズを作るときに実際にやっていることを調べるために私が行ったちょっとした世論調査。改善のためのアドバイスつき。
Diceware for Passphrase Generation and Other Cryptographic Applications ダイスウェアの他の利用法と、ダイスウェアの安全性に関する分析。
Passgen: A Password Generator Java Applet ユーザが選べるテンプレートを元にし、キーボードの時間の遅れを使ってランダムなパスワードを生成する。ダイスウェアの方法よりは安全ではないが、ログインパスワードや類似のアプリケーションには適する。ソースコードつき。
Other Papers on Cryptography by Arnold Reinhold P=?NP -- who cares?, cryptanalysis of histocompatibility, etc.
日本語版のダイスウェアページ 翻訳および管理は結城浩が行っている。
S. N. Porter, A Password Extension for Improved
Human Factors,
Advances in Cryptology: A Report on CRYPTO 81, Allen Gersho, editor, volume
0, U.C. Santa Barbara Dept. of Elec. and Computer Eng., Santa Barbara,
1982. Pages 81--81. Also in Computers & Security, Vol. 1. No. 1, 1982,
North Holland Press.
MIT の PGP 配付サイト
(訳注: PGP を米国から海外にダウンロードするのは米国の法律に反する行為です。)
Fran Litterio の暗号、PGP、プライバシーのページ (Fran Litterio's Cryptography, PGP and Your Privacy Page)
Japanese Translation:
Japanese Translation Copyright (c) 1996,1997,1999 Hiroshi Yuki, Tokyo JAPAN.
The author hereby grants rights for free non-commercial electronic
distribution of this entire text with attribution.
Last updated December 31. 1999