Windows10でパスワードを回復するときに使う｢セキュリティの質問｣は、一年以上前からある機能ですが、ふだんMicrosoftアカウントを使ってOSにログインしている人は、その存在を知らないかもしれません。

Windowsをインストールするときにローカルアカウントを使うと、セキュリティの質問を3つ設定するように促されます。この質問を使えば、パスワードを忘れてしまったときに、パスワードをリセットすることができます。

秘密の質問を設定していてもハッキングされる恐れがある

便利そうでしょ？ しかし残念なことに、以前にも説明したとおり、この｢セキュリティの質問｣はあなたのアカウントのセキュリティにあまり貢献はしていません。

ハッカーは、あなたの高校の名前や、犬のミドルネームを推測しようと汗水をたらしたりはしません。そのかわり、このセキュリティの質問を、バックドアとして利用します。

ハッカーは、一度あなたのアカウントに侵入すれば、あなたの代わりに新しいセキュリティ質問を設定して、以降それを使って、永続的にシステムに侵入することができます。

このやり方は、最近、情報セキュリティの国際会議｢Black Hat Europe Security Conference｣で、セキュリティ研究者のグループがプレゼンテーションで説明したシナリオとまったく同じだと、米メディア｢Ars Technica｣が書いています。

研究者らが指摘した問題は、このパスワードリセット質問が、設定するのは非常に容易でありながら、何千台ものコンピューターで構成されたネットワークにおいては、監視するのが非常に困難であるという点です。

管理者権限を持った個人が、遠隔操作で任意のWindows10マシンのセキュリティ質問を設定したり、変更することができる一方で、そうした変更を監視し、変更し直す簡単な方法はありません。

悪意あるユーザー（不正に管理者権限を入手した悪い従業員やハッカー）が、セキュリティの質問をバックドアとして利用すれば、管理者権限を失ってもすぐに取り戻すことが可能となります。

ありがたいことに、研究者ら（Illusive NetworksのMagal Baz氏とTom Sela氏）が、Windowsの｢セキュリティの質問｣を永久に無効にできるPowerShellスクリプトを作成したということです。

秘密の質問を無効にする方法

こちらから ps1ファイルをダウンロードして、自分のWindows 10オペレーティングシステムでPowershellを起動し、 ps1ファイルが格納されているフォルダまで移動して、次のコマンドをタイプすれば、セキュリティの質問を無効にすることができます。

Update-AllUsersQA

このコマンドを実行すると、Windows 10のログイン画面で、［パスワードのリセット］オプションを選択しようとすると、エラーメッセージが表示されるようになります。

パスワードを回復する手段は残しておきたいが、その機能が動作しているということは隠しておきたい場合は、次のコマンドを実行してください（SecretAnswerのところは、自分のセキュリティの答えに置き換える）。

Update-AllUsersQA -answer SecretAnswer 

パスワードを回復しようとすると、｢This feature is disabled（この機能は無効です）｣という警告が表示されますが、無視して、作業を進めてかまいません。これで少しは安全性が高まったはずです。

あわせて読みたい

Image: Lifehacker US

David Murphy - Lifehacker US［原文］