パスワードに大文字や記号は意味がなかった？ 2時間半で突破可能

8文字のWindowsパスワードはわずか2時間半で突破可能と判明

セキュリティに関する研究を行っているハッカーのTinker氏は、NVIDIAの最新GPUである
GeForce RTX 2080 Tiとオープンソースのパスワードクラッキングツールである「hashcat」を組み合わせることで、
8文字のWindowsパスワードをわずか2時間半で突破できると報告。

2011年、セキュリティ研究者のSteven Myer氏は、
「8文字のパスワードはブルートフォース攻撃を使えば44日で突破されてしまう」と警告を発しました。
しかし、それから4年後の2015年にはソフトウェア開発者のJeff Atwood氏が「平均的なパスワードの長さは8文字である」と述べ、
多くの人々はパスワードの長さを変える努力をしていない様子。

Tinker氏は「人々はパスワードを作る際に大文字、小文字、数字や記号などを混ぜた複雑な文字列を設定するように要求されますが、
これは人々が自身のパスワードを記憶するのを難しくしています」と指摘。
この要求が、多くのユーザーがパスワード設定時に要求される最低文字数である
8文字のパスワードを作りがちな理由だとしています。

なお、「パスワードには大文字、小文字、数字などを混ぜるべき」という説について、
パスワードの専門家が「文字列を複雑にしても特に意味はなかった」と認めています。

そこで、Tinker氏はパスワードを設定する際に「ランダムで5個の単語を組み合わせるといい」と述べています。
たとえば「Lm7xR0w」という8文字の複雑なパスワードよりも、
「phonecoffeesilverrisebaseball」という5個の単語を適当に組み合わせたパスワードの方がセキュリティ的に強くなるとのこと。
また、2段階認証を有効にすることもセキュリティを強化するために重要だとしています。