こんにちは。セキュリティの世界へようこそ。
「パスワードをデータベースに保存するなら、そのまま書いちゃダメだよ。ハッシュ化しなきゃ」
先輩や上司からそんなことを言われて、なんとなく「MD5」や「SHA-256」という単語を耳にしたことはありませんか？実はその知識、現代のサイバー攻撃者から見れば「鍵のかかっていない玄関」と同じくらい危険なんです。
今日は、なぜパスワードをただ変換するだけではいけないのか、そして私たちが選ぶべき最強の防壁「Argon2」と「bcrypt」について、身近な例えを交えて紐解いていきましょう。
—
1. 「ハッシュ化」は、ただの「暗号化」ではない
まず、誤解を解くところから始めましょう。ハッシュ化は「暗号」ではありません。「戻せない一方向の変換」です。
想像してみてください。あなたは「パスワード」という大事なメモを、シュレッダーにかけて粉々にしました。これがハッシュ化です。元に戻すことはできませんが、誰かが同じメモを持ってきてシュレッダーにかけたとき、出てくる紙片の形が同じなら「同じパスワードだね」と確認できますよね。
でも、今の攻撃者は非常に頭が良いんです。彼らは「よく使われるパスワードリスト」をシュレッダーにかけて、事前に「どんな紙片になるか」の辞書を作っています。これを使えば、あなたのシュレッダー屑が何だったのかを当てるのは時間の問題です。
2. 泥棒を足止めする「ソルト」と「ストレッチング」
では、どうすれば攻撃を防げるのでしょうか。答えは、「泥棒が作業する時間を、一生かかっても終わらないほど長くすること」です。
「ソルト」で辞書を無効化する
シュレッダーにかける前に、パスワードの横に「ランダムな文字列（ソルト）」を付け足してみてください。
「パスワード」＋「適当な記号」を混ぜてから粉々にすれば、攻撃者が事前に持っている辞書は全く役に立たなくなります。パスワードごとに毎回違うソルトを使えば、もしデータベースが盗まれても、攻撃者は一人ひとりのパスワードを個別に時間をかけて解析し直さなければなりません。
「ストレッチング」で泥棒を疲れさせる
さらに、シュレッダーにかけた紙を、もう一度別のシュレッダーにかける……これを何千回、何万回と繰り返すのが「ストレッチング」です。攻撃者が1秒間に何億回もパスワードを試そうとしても、計算に時間がかかりすぎて、攻撃そのものが物理的に不可能になります。
—
3. 今選ぶべき「最強の鍵」：Argon2とbcrypt
現代のセキュリティにおいて、選ぶべきアルゴリズムは二つだけです。
1. Argon2id: 現在の王様です。パスワードハッシュコンテストで優勝したアルゴリズムで、CPUだけでなくメモリも大量に消費させるため、攻撃者に専用の解析マシンを作らせない強固な仕組みを持っています。
2. bcrypt: 長年使われてきた信頼のスタンダードです。枯れた技術だからこそ安心感があり、多くの言語でライブラリが充実しています。
実装例：bcryptを使ったパスワード保存（Node.jsの場合）
「難しそう……」と思わなくて大丈夫です。ライブラリを使えば、実装はこれだけシンプルです。
const bcrypt = require(‘bcrypt’);
// パスワードをハッシュ化する関数
async function hashPassword(plainPassword) {
// saltRoundsは「ストレッチングの回数」
// 10〜12程度が、今のコンピューター性能における「セキュリティと速度の黄金比」です
const saltRounds = 12;
// 自動的にランダムなソルトが生成され、ハッシュの中に埋め込まれます
const hash = await bcrypt.hash(plainPassword, saltRounds);
return hash;
}
// ログイン時の照合
async function verifyPassword(plainPassword, hashFromDb) {
// ユーザーが入力したパスワードと、DBにあるハッシュを比較
const match = await bcrypt.compare(plainPassword, hashFromDb);
return match; // trueならログイン成功！
}
—
4. 最後に：セキュリティは「完璧」を目指さない
ここで一つ、現場の知恵を伝授します。セキュリティにおいて「完璧」はありません。しかし、「攻撃コストを、攻撃者の収益よりも高くする」ことはできます。
- ソルトは必ずランダムに生成する（固定値はダメです！）
- ストレッチング回数は、サーバーが許容できるギリギリまで高くする
- 古いアルゴリズム（MD5, SHA-1など）は絶対に封印する
これらを守るだけで、あなたのサービスは格段に強固になります。
セキュリティは、一度学んで終わりではなく、日々の小さな積み重ねが信頼を作る世界です。最初は難しく感じるかもしれませんが、こうして一つひとつ理解を深めていく姿勢こそが、最高峰のエンジニアへの第一歩ですよ。
さあ、次はあなたのプロジェクトのパスワード保存処理をチェックしてみましょう！一歩ずつ、安全な開発を一緒に進めていきましょうね。
コメント