パスワードはどう守られているのか

🎬 アニメーション『ログインの裏側』の ② のところです！

ログインボタンを押すと、IDとパスワードはインターネットを旅してサイトの受付へ向かいます。ここで大事なのは、鍵付きの道（アドレスバーの鍵マーク、httpsって言います）を通ることです。

1. あなたがログインボタンを押す
2. パスワードは暗号化された通信路に乗って受付へ向かう
3. 途中の機械（Wi-Fi・ルーター・通信網）は通過するだけ。盗み見されても中身は読めない

⚠️ イレギュラー（うまくいかないとき）:

• 鍵マークのないサイト — 道が暗号化されていないので、途中でパスワードを盗み見される可能性がある。ログインしてはいけない
• 偽物のサイト（フィッシング） — 道がいくら安全でも、届け先が泥棒なら意味がない。本物そっくりの偽サイトに自分から入力してしまう被害が、実はいちばん多い

🎬 アニメーション『ログインの裏側』の ③ のところです！

受付は届いたパスワードを、そのまま金庫にしまいません。まずすりつぶします（ハッシュ化って言います）。

1. パスワード「sakura2024」を専用のミキサーにかける
2. 出てくるのは「a91bc0...」のようなぐちゃぐちゃの文字列
3. このミキサーは一方通行で、結果から元のパスワードには戻せない
4. ただし同じパスワードを入れれば、必ず同じ結果が出てくる

「戻せないのに、同じ入力なら同じ結果」——この不思議な性質のおかげで、生のパスワードをどこにも置かずに本人確認ができます。

⚠️ イレギュラー（ここが甘いサイトだと）:

• 生のまま保存しているサイト — 金庫が破られた瞬間、全員のパスワードがそのまま流出する。「流出したけど被害が出ない」と「即・全滅」の分かれ目はここ
• 「パスワードを忘れた」で元のパスワードがメールで届くサイト — 戻せない形で保存していれば、元のパスワードを送ることは不可能なはず。届いたら、そのサイトは生のまま保存している危険信号

🎬 アニメーション『ログインの裏側』の ④〜⑤ のところです！

受付は、すりつぶした結果を金庫のものと見比べます。

1. 受付「この、すりつぶした結果、登録ある？」
2. 金庫が登録済みの結果と見比べる（生のパスワード同士を比べているのではない）
3. 一致すれば本人。不一致なら「IDかパスワードが違います」

失敗したときに「どちらが違うか」を教えてくれないのは、不親切なのではなくわざとです。「このIDは存在します」と教えるだけで、攻撃者はそのIDを狙い撃ちできるようになるからです。

⚠️ イレギュラー（攻撃されるとき）:

• 総当たり — 機械で何万回も試される。だから多くのサイトは「5回失敗したらしばらくロック」する
• パスワードリスト攻撃 — 別のサイトから漏れたID・パスワードの一覧を、片っ端から試される。使い回しているパスワードだけが破られる。これが「使い回しが一番危険」と言われる理由

🎬 アニメーション『ログインの裏側』の ⑥ のところです！

照合に成功すると、受付は「しばらく有効な会員証」をくれます（セッションって言います）。

1. 会員証はブラウザが預かって、以降のページでは会員証を見せるだけで通れる
2. だからページを移動するたびにパスワードを打ち直さなくていい
3. 会員証には期限があり、ログアウトすると無効になる

ここまでがログインの1〜2秒の裏側です。仕組み側は「生のパスワードをどこにも置かない」ことであなたを守り、あなた側は「使い回さない」ことで自分を守る——守りは両側で1セットです。