No220 無意味なBIOSパスワード

俗に「BIOSパスワード」というコトバがあるのをご存知でしょうか？これはパソコン（ＰＣ）の電源を入れた時、Windowsが動作する前に動くプログラムのことです。一部の企業では今もセキュリティ対策としてBIOSパスワードの設定を必須（もしくは推奨）としています。ですが、BIOSパスワードは運用の面倒さの反面、得られるメリットは非常に限定的で、あまり有効な対策とは言えません。 BIOSパスワードを推奨するようなブログの中には、そもそもBIOSを正しく理解されていない記事も散見されますので、今回はBIOSについての正しい解説をします。

1. BIOS（バイオス）ってナニよ？

BIOSはBasic Input-Output Systemを略したもので、現在のパソコン（ＰＣ）には必ずと言っていいほど搭載されています。ところがこのBIOSというのが非常にわかりにくい（説明しづらい）ものなんです。多少ＰＣに明るい人でもBIOSについては誤解をされている方が結構おられます。これには理由があります。 BIOSは、ハードウェアと密接な関係があり、ハードウェアの領域に興味や知識がないと、意味がわからない点が多いのです。そのためでしょうか。BIOSの概要や画面の操作手順を書いたものはたくさんありますが、以下に書くようなBIOSの目的や動作手順に言及したものは見たことがありません。

2. BIOSって何のためにあるの？

コンピュータの電源を入れてからWindowsが起動するまでには、実にたくさんの仕事をこなさなければなりません。まず、コンピュータの電源を入れると、基本的なハードウェアのチェックを行います。例えば、そもそも電源回路が正常か、CPUやメモリが接続されているか、といったハードウェアレベルの不良がないことをチェックします。（ここでエラーが起きると画面には何も表示されずブザー音が　鳴ったりします）余談　最近は「メモリ」が何を指すかがややこしくなっています。　もともとはCPUが直雪参照できる記憶装置のことを指しました。　これはRAM（ラム）やROM（ロム）と呼ばれるメモリです。　ところが、後にフラッシュメモリというものが登場してややこし　くなりました。　フラッシュメモリはUSBメモリやパソコン(ＰＣ)のSSD、スマホ　などに使われている記憶装置（ハードディスクなどと同等）で、　一般にCPUから直接参照することはできません。　このフラッシュメモリを「メモリ」と呼び始めたため、旧来の　メモリと意味の混乱が生じています。　この記事では、旧来のRAMやROMのことをメモリと呼びます。次に、CPUを起動します。 CPUの最初の仕事はその機器にどんなハードウェアが接続されているかを確認することです。メモリの動作、接続されているハードディスク・SSD・光学ドライブ、そして、拡張スロット・音源・ネットワーク・USB・電源などのコントローラ、その他ＰＣで使える機能の有無やその動作状態などをチェックします。全てのチェックが無事完了すると、次に指定された目的プログラムのロードを行い、そちらに制御を明け渡します。チェックの途中でエラーが発生すると、画面上にエラー（黒い画面に白い英文字で表示されるアレ）を表示したりします。さて、CPUはWindowsを含む全てのプログラムを実行する機能を持ちますが、逆にプログラムがないと何もできません。しかもそのプログラムはメモリ（RAMかROM）になければ動かせません。ところが、電源投入の直後は、Windowsのプログラムはハードディスクの中にあり、メモリ上にはありません。これでは、CPUがWindowsを実行できません。誰かがお膳立てしてくれなければなりません。その「誰か」はＰＣが起動した時点で既にメモリ上にいてくれる必要があります。こういったメモリはROM（Read Only Memory：ロム）と言い、ＰＣの中にチップとして（実際には他のチップと共存の形ですが）存在しています。

3. え？それがBIOS？

既にお気付きと思いますが、その「誰か」がBIOSです。こういったコンピュータを動かすための最初のプログラムのことは一般的にはローダとかブートローダなどと呼びます。ローダは、目的のプログラムをハードディスクなどからメモリ上に持ってくる（ロードする）のを仕事とした、特殊なプログラムです。全く裏方なので、ほとんどの場合は意識しませんが、パソコン（ＰＣ）の電源を入れた時には必ず密やかに実行されています。ローダというのは本当にロードするだけの機能しかないのですが、 BIOSにはローダの他にもそのコンピュータの特定の機能（USBを使うか、ネットワークを使うかなど）のON/OFF機能や、目的のプログラムがどの装置にあるかの指定、といったいろいろな機能が搭載されています。（こういった機能の解説は世の多くの記事で解説されていますのでここでは省略します）そのうちの一つがBIOSパスワードというものです。

4. BIOSパスワード

やっと、今回のキーワードが出てきました。もともと、BIOSパスワードというのはBIOSでの機能設定をうかつに変更できないように、システム管理者が設定するものでした。 BIOS画面でわけもわからず機能変更するとパソコン（ＰＣ）が起動しなくなる可能性もあるからなんですね。この時点では、BIOSの機能画面に遷移させないのが目的でしたからＰＣの起動時に必ず聞かれるものではなかったのです。その後、ＰＣの起動時にもパスワードを設定できるようになりました。この時点で、ＰＣの内部構造に明るくない各社の情報システム部門が、のきなみ「BIOSパスワードを設定しましょう」と言い始めます。（この最初の事例がどこか筆者は知らないのですが、ご存知の方がおられましたら是非教えてください）ですが、当時（2000年前後）でもＰＣの構造を知る人々からはBIOS パスワード設定は無駄な行為と指摘されていました。というのは、BIOS情報はＰＣ上のチップ上に保管されており、そのデータはボタン電池の電流によって保持されていました。ボタン電池を外せばパスワードも消えてしまったのです。ＰＣのフタを開ければボタン電池は見えます。（当時はノートＰＣではなくデスクトップＰＣが主流）それを外すのは誰でもできます。つまり、盗難され、フタを開けられれば何の保護にもならなかったのです。この事実から考えますと、メーカ側がBIOSパスワードをセキュリティ向上策としては考えていなかったのではないかと思われます。とはいえ、当時はWindowsへのログイン時にパスワードなしが標準的でしたから、ほんの少しですがセキュリティ向上できたと、言えないこともありませんでした。

5. 最近のBIOSパスワード

ですが、2010年頃からは状況が変わりました。（規格ができたのは2005年ですが、一般化したのは2010年頃） BIOSに変わってUEFIというローダが主流となったのですが、この時に、ボタン電池を外されてもパスワードが消えない方式に改められました。さらにパスワードを保持するチップの情報を不正に読み込むことが極端に難しい（耐タンパ性）方式となりました。今までであれば、パスワードを忘れてもボタン電池を外せばどうにでもなったのですが、この方式でパスワードを忘れると大変です。そのため、各メーカでは救済策として、パスワードを間違うと、（ランダムな）数ケタの文字を表示し、サポートセンターに連絡すると、（そのランダムな数ケタの文字に対応した）解除コードを教えてもらえるという方式に変えました。さて、これによってBIOSパスワードは有意義なセキュリティ対策となったのでしょうか？

6. それでもBIOSパスワードは役に立たない

いえいえ、そんなに世の中甘くありません。ここまで読まれた方ならおわかりでしょうが、BIOSパスワードはあくまでそのパソコン（ＰＣ）のチップ上に保管されています。ですから、ハードディスクやSSDを抜き取って、他のＰＣに入れてしまえば、BIOSパスワードなんて関係ありません。パソコン（ＰＣ）の分解などというと、よほどの技術が必要そうな印象です。が、デスクトップＰＣはもちろんノートＰＣもドライバ１本あればバラせるように作られています。特殊な工具なまず要りません。つまり、データを盗む目的での盗難に合った場合、BIOSパスワードは何の役にも立ちません。一部のBIOS(UEFI)には、ハードディスクパスワードなるものが設定できるものもありますが、これもBIOSパスワードと同様でチップ上に保管されますから、ハードディスクを抜き取られればやっぱり役立たずです。さらに、上述のパスワード忘れの新しい救済策も頼りになりません。既に、ランダム値に対応する解除コードを教えてくれるサイトが存在しています。（危ないサイトではないと思いますが、クリックにはご注意を）　https://bios-pw.org/ このサイトはＰＣに表示されるランダムパスワードを入力すれば対応する解除コードを表示してくれます。そりゃそうです。 BIOSプログラムを解析すれば何を入力すれば解除できるかはわかるのですから、その逆算をすればいいだけです。（カンタンそうに書いてますが、解析はホンマに大変な仕事ですよ。）

7. じゃあどうすればいいのよ

そもそも、BIOSパスワードは利用者が勝手に設定をいじれないように管理者向けに提供された機能です。（これ自体が過去の手法です）メーカがセキュリティ向上を目指して提供したものとは思えません。それをセキュリティ対策として利用する時点で使い方を間違っているのです。使い方が間違っているのですから、あきらめるしかありません。なお、盗難（置き忘れ）対策としては、ハードディスクの暗号化が定番です。Windows自身、BitLockerというアプリを提供しています。（Pro以上でないと使えない点は難点ですが）これを使うと（マシン性能が悪いと）かなり遅くなるという弊害はありますが、ここは利便性とセキュリティ対策のどちらを取るかという話になります。また、事務所に設置しているＰＣであれば、昔ながらのセキュリティケーブル（机などと繋ぐ金属製のケーブル）の極太のは今も有効です。（細いのは割と簡単に切ることができます）

8. まとめ

BIOSパスワードというものがあります。 BIOSというのは、パソコンに最初から含まれている特殊なプログラムで、起動時のハードウェアチェックをしてから、Windows の最初の起動プログラムの実行までをやってくれるものです。そのBIOSにはパスワードを設定することができるのですが、もともと BIOSパスワードはセキュリティ向上策ではないため、あまり頼りになるものではありませんでした。 2010年頃から、パスワードの記憶方法を変えるなどの対策も取られていますが、それでもハードディスクを取り外されればそれまでで、セキュリティ対策としては効果的とは言いがたいものです。これはBIOSパスワードがその出自からしてセキュリティ対策ではないものですから、それをセキュリティ対策として活用することが間違いであると言えます。もし、盗難対策を考えるのであれば、ハードディスクの暗号化やセキュリティケーブルなどの設置の方が余程有用です。今回はBIOSパスワードについて解説しました。次回もお楽しみに。

メールマガジン「がんばりすぎないセキュリティ」No220 (21/08/09)