安全なパスワードの作り方——長さ・文字種・パスフレーズ

長さは正義

組み合わせの数は「使える文字の種類 × 長さ」で決まりますが、効き方は長さの方が圧倒的です。英小文字だけでも1文字増えるごとに組み合わせは26倍になります。記号を足して文字種を増やすより、4文字長くする方が強くなることも珍しくありません。重要なアカウントでは16文字以上を目安にし、短くて複雑なものより、長くて単純寄りのものを選ぶ方が実は堅牢です。

使い回しが最大の弱点

どれだけ強いパスワードでも、複数のサービスで使い回していると、1か所の漏えいがすべてのアカウントの漏えいに直結します（漏れたIDとパスワードの組を他サービスで試す攻撃は、実際に最も多い侵入経路のひとつです）。サービスごとに別のパスワードを作り、パスワード管理アプリに保存する運用が現実解です。

覚える必要があるならパスフレーズ

管理アプリのマスターパスワードやPCのログインなど、どうしても手で入力するものは、ランダム文字列より「無関係な単語をつないだパスフレーズ」が向いています。たとえば Hammer-Cherry-Jasper-Rabbit のような形式です。人間には覚えやすく、単語数を増やせば組み合わせの数はきちんと増えるため、覚えやすさと強度を両立できます。

当サイトのパスワード生成は、ランダム文字列とパスフレーズの両方式に対応しており、推定強度もバーで表示します。生成はブラウザ内の暗号学的乱数で行われ、できたパスワードが外部へ送信されることはありません。

まとめ

強いパスワードの条件は、十分に長いこと、サービスごとに違うこと、そして推測の手がかり（名前や誕生日）を含まないことです。コピペで使うものは長いランダム文字列を、覚えるものはパスフレーズを。この使い分けができれば、パスワード運用はかなり安全になります。