強いパスワードの作り方
パスワードの強さは、長いことと予測できないことから生まれます。文字が 1 つ増えるごとに、攻撃者が試すべき組み合わせは倍々に増えるため、長さが最も効果的な手段です。日常のアカウントには最低 12 文字、メール・ネットバンキング・パスワードマネージャーには 16 文字以上を使ってください。
大文字・小文字・数字・記号を混ぜると使用可能な文字の集合が広がり、各桁のエントロピーが上がります。ランダム性も同じくらい重要です。人が選ぶパスワードには規則性があります——名前と西暦、a を @ に置き換えた単語、qwerty のようなキーボード配列などです。Web Crypto API を使う生成ツールにはそうした偏りがありません。
- 辞書の単語、名前、誕生日、連続した文字は避ける。
- P@ssw0rd のような予測しやすい置き換えに頼らない。
- 同じパスワードを複数のサイトで使い回さない。
エントロピーと解読時間
エントロピーはビットで表され、パスワードの当てにくさを示します。おおよそ「パスワードの長さ × 文字集合サイズの底 2 の対数」です。1 ビット増えるごとに、総当たりで破るのに必要な手間は 2 倍になります。
- 40 ビット未満——弱い。数秒から数時間で破られることがある。
- 60 ビット前後——重要度の低いアカウントなら許容範囲。
- 75〜100 ビット——強い。現在のハードウェアでは総当たりは非現実的。
- 100 ビット超——非常に良い。マスターパスワードや暗号鍵に適する。
チェッカーが表示する解読時間は、毎秒約 100 億回の試行を前提としています。これは最新の GPU クラスターが高速ハッシュに対して出せる程度の速度です。実際の数値はハッシュアルゴリズムや攻撃者の資源によって変わるため、保証ではなく相対的な目安として見てください。
パスワードが漏れる仕組み
強くて使い回していないパスワードは、当てずっぽうに頼る攻撃を防ぎます——ただし、すべての攻撃がその方式ではありません。
- 総当たり攻撃・マスク攻撃は、すべての組み合わせ、または既知のパターンに合う組み合わせを試します。
- 辞書攻撃は、単語リストや過去の漏洩で公開されたパスワードのデータベースを順に試します。
- クレデンシャルスタッフィングは、あるサイトで盗んだログイン情報を他のあらゆるサイトで試します——使い回しが危険なのはこのためです。
- フィッシングは、偽のログインページにパスワードを入力させます。
- マルウェアやキーロガーは、パスワードの強さに関係なく入力内容を記録します。
長さとランダム性で最初の 2 つに対処できます。残りには二要素認証と、想定外のログイン要求への健全な警戒心が必要です。
パスワード管理のベストプラクティス
- アカウントごとに固有のパスワードを。あるサービスが漏洩しても他は開けられません。
- パスワードマネージャーを使う——Bitwarden、KeePassXC、1Password など。強いマスターパスフレーズを 1 つ覚えれば、残りはすべて保管されます。
- 二要素認証を有効にする——提供されている場所では常に。SMS コードより認証アプリやハードウェアセキュリティキーが望ましい。
- 必要なときにパスワードを変更する——漏洩の通知や侵害の疑いがあったとき。現在の指針（NIST）は、定期的な強制変更を推奨していません。弱く規則的なパスワードを招くためです。
- パスワードを共有しない——メールやチャットで送らず、平文ファイルや表計算にも保存しない。
パスフレーズとランダム文字列
パスフレーズは、無関係な単語をランダムに数個並べたものです（例: violin harbor nickel drift）。本当にランダムな単語が 4〜6 個あれば非常に強く、ランダム文字列よりも入力・記憶がずっと簡単です。ランダム文字のパスワードは 1 文字あたりのエントロピーが高く、マネージャーが自動入力し手打ちしない場合に適しています。
実用的な使い分け: 覚える必要のある唯一のマスターパスワードには長いパスフレーズを、個々のアカウントにはこの生成ツールのランダム文字列を使いましょう。
この生成ツールはプライベートで安全か？
すべてはブラウザー内で行われます。ページにバックエンドはなく、パスワードは JavaScript でローカルに作られ、ネットワークへ送信されることはありません。ランダム性は予測可能な Math.random() ではなく、ブラウザーの暗号学的に安全な生成器 crypto.getRandomValues() によります。
Cookie も分析も記録もありません。ページを開いた後にインターネットを切断しても動作します——ブラウザーの開発者ツールの「ネットワーク」タブを見れば、何も送信されていないことを確認できます。
参考リンク
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — check for breached accounts
強力なパスワードを生成しましたか？安全に保管する場所が必要です →
関連用語: エントロピー · 総当たり（ブルートフォース） · パスフレーズ · パスワードマネージャー · CSPRNG