🔐 パスワード強度のチェックはじめました

寒さが厳しくなってきました今日このごろいかがお過ごしでしょうか。ロリポップ！マネージドクラウド 開発チームの dojineko です。
年の瀬も近づいてまいりましたが、おそらく今年最後の(？)機能追加のお知らせです。

📝 パスワード強度チェックのお知らせ

ロリポップ！マネージドクラウドにおいて、パスワードを入力いただく画面において「パスワード強度」の診断を行う機能追加を行いました。本機能についてのマニュアルを下記にご紹介します。

パスワード強度とはなんですか？

💪 パスワード強度って？

パスワード強度とは、マネージドクラウドに対して設定頂いているパスワードが、安全なセキュリティ強度を有しているかの指標になります。マネージドクラウドでは、パスワード設定時のルールがありますが、今回「Have I Been Pwned?」の公開APIを活用したパスワード流出検知をあわせて実施するような機能追加を行いました。

🍟 「Have I Been Pwned?」って？

世界中の過去の事例を元にメールアドレスや、パスワードが流出したかどうかを調べることのできるサービスです。

公式サイト: https://haveibeenpwned.com/

今回の機能追加により、HIBPの結果を元に、マネージドクラウドの管理画面上で入力されたパスワードが世界中の過去の事例をベースに流出したことのある文字列かどうかを確認することができるようになりました。

「イラストコミュニケーションサービス pixiv(ピクシブ)」や「Python Package Index」などでも「Have I Been Pwned?」の機能をを活用して同様のパスワード流出検知が実現されています。

pixivに脆弱なパスワードで登録できないようにしました - pixiv inside

Help

🕵️‍♂️ どうやってチェックしてるの？

パスワードの流出検知においては、「Have I Been Pwned?」の仕様に従い、ご入力いただいたパスワードから生成する SHA-1 Hash の先頭5文字のみを使用して、「Have I Been Pwned?」に対してAPIリクエストをブラウザ上から実施します。その後ブラウザ上で得られた結果を元に流出検知を行います。

そのため、お客様のパスワード、及びパスワードから生成される SHA-1 Hash の全文が「Have I Been Pwned?」に対して送信されることはありません。

また、パスワードの流出検知にかかる処理は全てご利用中のブラウザ上で完結するようになっています。

🏬 どこでチェックできるの？

現時点では下記の画面において、パスワード入力欄に入力を行うとチェックができるようになっています。

・新規登録
・ログイン (パスワード再入力画面を除く)
・ログインパスワード更新
・データベースパスワード更新

例として、ログイン時に入力したパスワードが、流出したことのある文字列だった場合には、下記のような警告文が表示されるようになります。

この警告文は例えば、パスワードとして入力された文字列が以下のような条件の場合に表示されます。

・パスワードに設定されている文字列が簡単すぎる場合
・パスワードに設定されている文字列が過去に流出した記録がある場合
※他のユーザーの利用や、他社のサービスサイトでの流出などあらゆる条件を含みます

例えばパスワード欄に 「Password0123」などと入力し、入力欄からフォーカスを外すと反応することがわかると思います。(注: システム上登録はできちゃいますが使うことは激しくオススメしていません！🙅‍♂️🙅‍♀️)

👩‍⚕️ 警告文が出たらどうしたらいいの？

現時点においては、該当の警告文が出た場合も、サインアップやログイン、パスワード変更の処理はこれまで通り行なえます。

しかしながら、警告文が表示される状態のパスワードは、世界中の過去の事例を元にしてみたときに、流出した過去のある文字列であるため、セキュリティ強度が低下している可能性が考えられます。セキュリティ強度の低いパスワードを継続して利用していると、悪意のある第三者にロリポップ！マネージドクラウドの管理コンソールに不正アクセスされ、不正にプロジェクトを作成されたり、停止されたりする可能性が否めません。そのため、他で使いまわしていない新たな文字列をパスワードとして設定いただくことをおすすめしております。

また合わせて、ログインに際しては二要素認証の設定をいただくことや、別途パスワードマネージャーのご利用などを検討いただけますと幸いです。

🌏 さいごに

おそらく今年の最後の機能追加のご案内でした！

もし今回の機能追加でパスワードが警告されてしまった場合は、年末の大掃除と一緒にぜひパスワードの更新や二要素認証の設定をおこなって、年明けに向けて安心な環境にしてみませんか？

マネージドクラウドはお客様に「簡単な運用体験」を提供することに加えて「安心な運用体験」にも取り組んでいくため、来年も様々なアップデートを継続していく所存です。

変わらずのコロナ禍で「年末年始も外出も控えようかな？」と思う今日このごろですが、おなじくお暇がある皆様はもしよろしければ、この機会にロリポップ！マネージドクラウドをお試しいただければ幸いです。

なお、年末年始の冬季休暇のお知らせがございますので、よろしければ合わせてご確認下さい。

ではでは〜 👋