脆弱なパスワードの設定状況調査
宇田川暢

新潟大学 情報基盤センター
udagawa@cais.niigata-u.ac.jp

Investigation of weak password usages
UDAGAWA Mitsuru
Center for Academic Information Service, Niigata Univ.
概要
新潟大学で教職員向けに提供しているメールシステムにおいて、脆弱なパスワードの利用によりインシデントが複数回発生している。この問題に対応するため、利用中のパスワードの強度チェックと、必要に応じてパスワード変更の強制を実施した。

1

はじめに

3.1 ブルートフォース攻撃
ブルートフォース攻撃は、総当たり的にアカウ

近年、様々な大学において教職員に対して大学ントへのログイン試行を繰り返すタイプの不正アが付与しているメールアカウントの乗っ取りによ

クセスの試みである。一般的にはアカウント名（こるスパムメールの送信が明らかとなっている。新の場合はメールアカウント）を固定し、パスワー

潟大学においても 2018 年以降、短期間の間に何度ドをアカウント名などから推測してログイン試行

も教職員のメールアカウント乗っ取りが発生し、を繰り返す。このタイプの攻撃は、特定のアカウ複数回に渡ってお詫び文を公表する事態[1]となっントやアクセス元 IP アドレスからの連続したロている。

グイン試行の失敗に対して、一定時間ロックアウトをすることで緩和することが可能である。

2新潟大学におけるメール管理

2.1 学生用メールサービス

3.2 ボットによる分散型ブルートフォース攻撃
ブルートフォース攻撃への対抗策として、アク本学において、在学生を対象に提供しているメセス元 IP アドレスのロックアウトを導入した後にールサービスは Gmail となっている。本稿ではこ顕在化した問題が、ボットネットによる分散型ブの学生用メールサービスについては取り扱わない。

ルートフォース攻撃である。ボットネットを構成

2.2 教職員用メールサービス

する個々のボットは、複数の国の IP アドレスを使教職員に対しては、プロプライエタリなメールって分散的に不正アクセスを試みてくるため、前サーバ用ソフトウェアを利用して、オンプレミス

述のような IP アドレス単位でのロックアウトが有でメールサービスを提供している。誰も管理して効な対応方法では無くなってしまう。

いないアカウントが存在しないよう、本サービス

新潟大学では、この攻撃手法に対して、日本国の利用者は、年に一度のメール利用確認を行うこ外の IP アドレスからのメールサービスへのアクセとを義務づけられている。

スを遮断することで、不正アクセスのリスクを軽減する対応とした。

3 不正アクセスへの対応
筆者は所属する部署において、新潟大学の教職員用メールサービスの運用に携わっており、その中で当該メールサービスのアカウントへの不正なアクセスの対応を行ってきた。しかしながら、以下のような攻撃者の多種多様な攻撃への対応が問題となっている。

3.3 フィッシングメールによるアカウント窃取
メールシステム管理者などを装い、偽のログインフォームへ誘導してアカウントを窃取する攻撃
メールは非常に多く、受信者によってはアカウン
ト情報を騙し取られてしまうことがある。
この攻撃についてはメール本文をチェックして、フィッシング等の可能性が高い場合は当該メ

ールの題名に特定の文字列の付加を行うことのでことは困難である。幸い、”Have I Been Pwned” [6]きるメールサーバ用セキュリティ製品を導入する（以下、HIBP）というサービスが Troy Hunt によことで対応している。

り提供されており、パスワードチェック API を利3.4 漏洩したアカウント情報の利用用する事で、安全に指定したパスワードが漏洩リ

新潟大学のパスワードポリシーの一つに、パスワードの流用を禁止するという項目がある。しか

ストに掲載されたもので無いか確認することが可能となっている。

しながら、主に利便性のため、学外のサービスと具体的には、パスワードの SHA1 ハッシュ値を同じパスワードを設定し、そのパスワードがどこ取得し、最初の 5 文字を送信することで、該当すかのサービスから漏洩したため、他のサービスにるハッシュ値のリストを HIBP から取得、手元でおいても危殆化してしまうというケースが存在す

照合することで漏洩リストに含まれているかの確る。

認を行う。SHA1 ハッシュ値は 16 進数で 40 文字

また、漏洩したアカウントリストを元に、記号や文字の一部を変更してログイン試行を行うファのため、一致した場合はほぼ確実に漏洩したパスワードであると考えられる。

ジングという手法での攻撃を観測している。

5 メールパスワード確認の実施
4 メールパスワードのチェック方法

前掲の pwscore および HIBP によるパスワード

これらの攻撃手法に起因して発生したインシチェック機構を導入し、以下のようなフローでのデントへの対応として、新潟大学の CSIRT からメパスワードチェックをメール利用確認時に追加すールの利用確認に合わせて、メールパスワードのることを提案し、CSIRT 担当者から了承を得て実再設定をメールセキュリティ強化の一環として対施することとなった。

応するよう依頼があった。しかしながら、単純に(1) メール利用確認システム（以下、本システム）パスワードを再設定させるだけでは十分な対策にへのログインする（本システムは利用確認依ならないと考えたため、次のような対策を行った。

頼メール記載のハッシュ付き URL＋OTP によ4.1 正規表現によるパスワードチェック

るログインと、メールアドレスとパスワード本メールサービスの利用に当たって、パスワードを設定する際には入力値チェックが行われる。

を利用したログインの 2 通りのログイン方法がある）。

これは正規表現により、文字数や文字種などが定(2) 現在のパスワードを入力するよう要求する。

められたパスワードポリシーに従っているかをチパスワードが不明のため、チェックをスキッェックする。この正規表現に基づくパスワードチプする場合は(5)へ。

ェックは、以前から導入されているものである。
4.2 pwscore を利用したパスワードチェック
CrackLib [2]というパッケージに含まれているパスワードリストの辞書を利用し、与えられたユ(3) メール用認証サーバにて認証し、入力されたパスワードが現在のパスワードと一致しない
場合は(2)へ戻る。
(4) 入力したパスワードのチェックを行い、問題ーザ名とパスワードの組み合わせから強度を評価がなければ(6)の登録情報の確認へ、正規表現、する pwscore [3]コマンドがある。これを利用する

pwscore および HIBP でのチェックのいずれか事で、パスワード中にユーザ名が含まれている、辞書に掲載されているパスワードである、同じよに引っかかった場合は(5)へ移る。
(5) 新しいパスワードを入力させ、正規表現、うな文字が何度も使われているといった脆弱なパpwscore、HIBP の全てのチェックに通った場合スワードの場合にはパスワード変更を拒否するこにはパスワードを更新し、(6)へ移る。とが可能になる。
4.3 漏洩リストによるパスワードチェック(6) 利用者の登録情報を確認し、継続利用を申請する。

学内システムのセキュリティ向上のためとはいえ、Collection #1 [4]や Breach Compilation [5]のよ
うな漏洩したアカウント情報のリストを一国立大学の情報基盤センターが恒常的に収集、分析する

6 実施結果今年度の利用確認対象となった 2,937 アカウン
トに対して依頼メールを送付したところ、およそ2 ヶ月の実施期間に 2,702 アカウントでのパスワーユーザ名の一部が含まれているパスワードがド確認が実施された。そのうち、パスワードを変最も多く、次いで辞書に掲載されたパスワード、更したアカウントは 564 アカウントだった。

（辞書に掲載されたパスワードと比較して）大文

前述のように、本システムへのログイン時には、字と小文字の入れ替えのみされたパスワード、簡

現在利用中のパスワードを知らなくてもログイン

単すぎるパスワードとなっている。これらはできるような仕組みが備わっている。そのため、pwscore にて問題が見つかったものとなる。

パスワードを変更した利用者は、基本的にパスワ

HIBP に掲載されたパスワードとして検出されードが不明か、パスワードチェックで問題が起こたものは合計で 18 アカウントだったが、10 件をったかのどちらかとなる。前者が 395 アカウント、除いて pwscore でのチェックにおいても検出する

後者が 169 アカウントだった。

ことが可能であり、前述のように全件を HIBP でこのパスワード確認の処理において、パスワーチェックしているにもかかわらず、検出比率は低ドチェックを通らなかった際に、問題となったパいものとなっている。しかしながら、HIBP でのみスワードそのものや、その理由を記録していなか問題として検出できたパスワードがあったことかったため、どのようなパスワードが使われていたら、HIBP の導入に意味が無いとは言えないと考えのか直接知ることはできない。ただし、エラーペる。

ージの HTML 出力の際にウェブサーバから送信さ本システムでは pwscore の出力メッセージを利れたデータサイズから問題となった項目を推測す用者に対して問題点が分かりやすいメッセージにることができる。本システムが動作しているウェ変更して表示するようにしている。この出力メッブサーバのアクセスログと、メール用認証サーバセージは、正規表現によるチェックを通過したパの認証ログを突き合わせることで調査と集計を行スワードを利用していることを前提としている。

った。

この想定を外れたパスワードが与えられた際に、なお、このパスワードチェックは、「正規表現によるチェック」、「pwscore によるチェック」、特定不能のメッセージ出力が行われたと考えられる。

「HIBP によるチェック」の順に行われ、それぞれのチェックで問題が見つかった場合は、全てのチェックを行った後にまとめて結果を表示する仕様となっている。

8 今後の課題
今回のパスワード確認の実施の結果、最低でも6%の利用者が脆弱なパスワードを利用しており、うち 13%はユーザ名がパスワードに含まれた、推7 集計結果測しやすいパスワードを利用していたものと予想

パスワードチェックで問題が見つかった 169 ア

される。パスワードポリシーとしてパスワード中カウントについて、集計した結果は表 1 のようににユーザ名を含めないことを定め、パスワード変なった。

更画面にその旨を記載していても、全てのユーザ表1が従ってくれることを期待することは危険で、シ問題が見つかったパスワード件数比率

ステム中にチェックする機構を備えることが重要

ユーザ名の一部が含まれる

99

58.6%であるという教訓を得ることができた。このよう辞書に掲載されている

2213.0%な仕組みを他の認証サービスのパスワード変更ペ

大文字と小文字の入れ替えのみ

148.3%

ージにおいても取り入れることを検討したい。

単純・系統的（パターン繰り返し）

105.9%

今回のメール確認は教職員用メールアカウン

HIBP に掲載されている

8

4.7%

トの全利用者を対象にしたものではなく、特定のHIBP 掲載 + 辞書に掲載

74.1%

部局や新規アカウント取得者、何らかの事情で自利用されている文字種が少ない

42.4%

ら利用確認を行うことができなかった利用者から

HIBP 掲載 + ユーザ名の一部

10.6%の依頼を受けて代行したアカウントについては、HIBP 掲載 + 文字種が少ない

10.6%

HIBP 掲載 + 単純・系統的

1

0.6%

（特定不能）

2

1.2%

発見された問題

今回のパスワードチェックを実施していない。これらのアカウントの利用者の中に脆弱なパスワー
ドを利用している可能性があり、今回パスワード確認の対象外となったアカウントについても同様の措置を行うことを CSIRT に対して推奨した。

参考文献[1] 新潟大学「サイト内検索結果」、（https://www.niigata-u.ac.jp/result/?q=メール
被害%E3%80%80 迷惑|漏洩%E3%80%80
inurl:news 閲覧日：2020 年 10 月 14 日）[2] GitHub「cracklib/cracklib」、（https://github.com/cracklib/cracklib 閲覧日：2020 年 10 月 14 日）[3] GitHub「cgwalters /libpwquality-git」、（https://github.com/cgwalters/libpwquality-git
閲覧日：2020 年 10 月 14 日）[4] Troy Hunt「The 773 Million Record "Collection#1" Data Breach」、（https://www.troyhunt.com/the-773-million-rec
ord-collection-1-data-reach/ 閲覧日：2020 年 10月 14 日）[5] GitHub Gist「scottlinux/breachcompilation.txt」、（https://gist.github.com/scottlinux/9a3b11257ac
575e4f71de811322ce6b3 閲覧日：2020 年 10 月14 日）[6] Have I Been Pwned「';--have i been pwned?
Check if you have an account that has been
compromised in a data breach」、（https://haveibeenpwned.com/ 閲覧日：2020
年 10 月 14 日）