私たちの多くがパスワードをどう扱っているか、正直に認めましょう。そこそこのパスワードをひとつ決めて、あちこちで使い回し、数字や記号を求められたら少しだけ変える。問題は怠けていることではなく、単純な計算です。学生のアカウント数は平均で80を超えます。強くて重複しないパスワードを80個も覚えられる人はいません。それができる前提のウェブサイトのほうが、無理を言っているのです。
良い知らせがあります。覚える必要はありません。これを完全に解決する道具が2つあり、どちらも無料です。
パスワードマネージャー：すべてをひとつの鍵で
パスワードマネージャーは、強いパスワードを生成し、保存し、入力してくれるアプリです。あなたが覚えるのはマスターパスワードひとつだけ。残りはアプリが記憶し、運営会社ですら読めない形で暗号化されます。
「全部ひとつの場所に置くのは危険では？」——いちばんよく受ける質問で、もっともな疑問です。比べるべきはこうです。いま、あなたの使い回しパスワードは、怪しいサイトも含めたすべてのウェブサイトのデータベースに実質的に保存されています。そのどれかひとつが漏えいすれば（漏えいは絶えず起きています）、攻撃者は同じパスワードをメールにも銀行にも試します。パスワードマネージャーは「どこにでも保存され、一度破られれば全部失う」状態を、「厳重に暗号化された金庫ひとつに保存し、ほかはすべて別々」に置き換えます。
始めるのに必要なのは一晩です。
- マネージャーを選ぶ。端末内蔵のもの（iCloud キーチェーン、Google パスワード マネージャー）でも十分です。Bitwarden（無料）のような専用アプリなら、すべての端末で使えます。
- どこにも使ったことのないマスターパスワードを決める。短い文章が有効です。例：
coffee-before-9am-is-survival - 一度に全部移そうとしない。普段ログインするたびに、その都度保存していけば十分です。2週間もあれば、重要なアカウントはひととおり守られます。
パスキー：パスワードの引退計画
パスキーは、パスワードの代わりに端末そのものを使う仕組みです。サインイン時、サイトはあなたのスマートフォンやパソコンに本人確認（指紋、顔、PIN）を求め、あとは暗号技術が処理します。覚えることも、入力することもなく、そして決定的に重要な点として、盗み取るものが存在しません。偽のログインページはパスキーを盗めません。あなたが渡せる秘密が、そもそも存在しないからです。パスキーは本物のサイトでしか機能しません。
Google、Apple、Microsoft、GitHub をはじめ、対応するサービスは急速に増えています。「パスキーを作成しますか」と聞かれたら、はいと答えてください。当面はパスワードを予備のサインイン手段として残しておいて構いません。移行期にはそれが普通です。
2段階の宿題
- 今夜： パスワードマネージャーを有効にして、メールのパスワードを移す。メールを最初にするのは、メールを支配した人がほかのすべてをリセットできるからです。
- 今週中： パスキーに対応している主要アカウントで設定する。
以上です。40文字の呪文を暗記する必要も、なくす手帳もありません。「不審なログインの試み」という通知を落ち着いて眺められる未来のあなたが、きっと感謝します。