皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

『Akismet Anti-Spam（以下”Akismet”』というのは随分前から『WordPress』をインストールした際にデフォルトでインストールされるプラグインで、自動的にスパムコメントを振り分けたり、削除したりしてくれるものです。

そして、昨年ご紹介した『SiteGuard』という『セキュリティプラグイン』でもスパムコメントへの対策機能はありますが、この2つは併用した方が良いです。

AkismetとSiteGuardを併用する理由

まず、『Akismet』というプラグインはスパムコメントを『常にスパムフォルダーに振り分ける』か、『最も悪質な種類の広範囲なスパムを自動的に削除』するかを選択でき、どちらかの方法で自動的に対処してくれます。

一方、『SiteGuard』というプラグインは『管理ページアクセス制限』、『ログインページ変更』、『画像認証』、『ログイン詳細エラーメッセージの無効化』、『ログインロック』、『ログインアラート』、『フェールワンス』、『XMLRPC防御』、『更新通知』、『WAFチューニングサポート』の機能があり、スパムコメント以外の管理画面のセキュリティ機能も備えています。

その中の『画像認証』の機能の中に『コメントページ』への対策が設けられています。

この『コメントページ』への『画像認証』は結構効果があり、『ひらがな』の『画像認証』を行う設定にした場合は海外からのスパムコメントに対して非常に有効的でもあります。

ただし、それでも『ひらがな』が理解できてしまう相手に対しては効果がありません。

その場合に効果を発揮してくれるのが『Akismet』というプラグインということになります。

現に、『Akismet』と『SiteGuard』を併用している『WordPressサイト』を見ていましても『Akismet』がブログをスパムから保護した数は結構多くあります。

しかし、『SiteGuard』との併用で『保留中のスパム』はかなり減少させることが期待できますので、併用されることがお勧めです。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、昨日に引き続き少々ラフ目になりそうですが、今回の『WWDC2019』で発表された『iOS 13』の新機能の中に『Sign in with Apple』というものがあります。

今日はこれについてお伝えします。

Sign in with Appleで秘匿される

この秋にリリースされる『iOS 13』の機能『Sign in with Apple』は、ログイン認証でよく見かける『Sign in with Google』や『Sign in with Facebook』と見た目は同じログイン認証用の機能です。

ただし、GoogleやFacebookとは少々考え方が違います。

『Sign in with Google』や『Sign in with Facebook』も一応『匿名』ではありますが、彼らの場合は『広告表示』のために個々の利用情報を取得して使っています。

しかしAppleは違います。

Appleはユーザーのプライバシーを取得しようとはしません。

今回発表された『Sign in with Apple』はユーザーの本来のメールアドレスを渡しません。

ランダムに生成されるメールアドレス『xxxxxxxxxx@privaterelay.appleid.com』といったメールアドレスが渡されます。

このランダム生成されるメールアドレスはそのローカルユーザーのみと紐づけされる仕組みになっているため、本来のメールアドレスを渡さなくて良いのです。

そして、パスワードは『iCloudキーチェーン』が管理してくれます。

ブラウザに『Safari』を使っていれば強固なパスワードが提案され、そのパスワードも管理してくれますので何も考える必要がありません。

今回感じるのは、やはりAppleはGoogleやFacebookとは違うということを改めて認識させてもらったような気がします。

しかし、これに対して『パスワードの定期的な変更は不要』という考え方に変化してきています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

総務省の『国民のための情報セキュリティサイト』にある、『IDとパスワード　設定と管理の在り方』を紹介するページでは、『パスワードを複数のサービスで使い回さない（定期的な変更は不要）』という文言が出てきます。

これは以前の考え方から変化していますが、何故そのように変化したのでしょうか？

パスワードの定期的な変更は不要

一部のインターネット記事を見ると、これはNISC（内閣サイバーセキュリティセンター）の見解を受けて変更されたようです。

しかし、NISCも他での見解を受けて方針を変更したのではないでしょうか？

約1年程前、米政府機関である『NIST（National Institute of Standards and Technology/アメリカ国立標準技術研究所』が発行する『電子認証に関するガイドライン』の新版からルールを変更するとされていました。

（参考：電子的認証に関するガイドライン by NIST）

これは、ユーザーに新しいパスワードへの変更を求めてもいい加減に作る傾向にあり、特別な理由がない限りはパスワード変更を求めるべきではないという考え方が専門家の間でも増えてきたこともあります。

また、NISTでは定期的なパスワード変更を止める代わりとして、最低64文字でスペースも入れられる『パスフレーズ』を推奨するとしています。

では、パスワード設定はどのように行うか？

パスワード生成を自動で行ってくれるツールを使うと良いです。

このようなものを使えば、個人に関連する情報が一切含まれず、英字の大文字・小文字、数字、記号、文字数、強度などを選択しながらパスワード生成を行うことができますので、非常に解読されにくいものであると言えます。

（参考：パスワードジェネレータ/Norton by Symantec）

そして、これを適切に管理さえしていれば、推測されやすいパスワードの定期的な変更よりも適切なものであると言えるでしょう。