強いパスワードの作り方｜数字でわかる安全な条件

強いパスワードは、長くてランダムなものです。そしてそのランダムさは、自分で考えるのではなく生成ツールで作る必要があります。ランダムな文字や単語が1つ増えるごとに、攻撃者が必要とする推測の回数は掛け算で増えます。そのため、文字を記号に置き換えるような小細工よりも、長さのほうがずっと効果があります。アカウントごとに別々のパスワードを生成し、パスワード管理ツールに保存して、使い回さないようにしてください。

パスワード生成強いパスワードが必要無料で使う

小細工が通用しない理由

攻撃者は、アカウントを1つずつ手作業で推測することはほとんどありません。よく使われるパスワードや辞書の単語のリストを、@ を a に、0 を o に置き換えるといった決まったパターンや、末尾に記号を付けるルールに当てはめて試します。多くの人のパスワードが同じパターンから作られているため、攻撃者はまずこうした変形から試すのです。P@ssw0rd! のようなパスワードは、人間の目には複雑に見えても、攻撃者のリストで最初に試される変形の1つです。見た目の複雑さは、推測されにくさとはほとんど関係がありません。

エントロピーをやさしく説明すると

エントロピーは、パスワードが同じ確率で取りうる可能性の数を、ビットという単位で表したものです。ビットが1つ増えるごとに、必要な推測の回数は2倍になります。ここで大切なのは、エントロピーがパスワードの見た目ではなく、そのパスワードを作った方法を表すという点です。ランダムな文字列と覚えやすいフレーズは、どちらも同じくらい不自然に見えることがありますが、エントロピーは大きく異なります。また、ランダムな識別子も、秘密にするためではなく一意性を保つために作られているため、パスワードの代わりにはなりません。UUID v4 と v7 の違いも参考にしてください。

ランダムな文字で作ったパスワードの計算式は次のとおりです。

bits = 文字数 × log2(文字の種類数)

ランダムな単語で作ったパスフレーズの場合は、次の式になります。

bits = 単語数 × log2(単語リストの語数)

下の表は計算例です。どの行も、すべての選択がランダムで、同じ確率で選ばれたと仮定しています。

作り方	取りうる組み合わせ	ビット数
ランダムな英小文字8文字	26^8	37.6
ランダムな英字と数字12文字	62^12	71.5
印字可能な記号94種からランダムに20文字	94^20	131.1
7,776語のリストからランダムに4語	7,776^4	51.7
1,024語のリストからランダムに5語	1,024^5	50.0
7,776語のリストからランダムに6語	7,776^6	77.5

1行目を見ると、短いランダム文字列が弱い理由がわかります。38ビットでは、重要なアカウントに対する余裕がほとんどありません。3行目は、長さがどれだけ効くかを示しています。Sunset!2026 のように自分で考えたパスワードは、見た目の長さのわりに、実際の取りうる組み合わせがずっと少なくなります。自分で選んだ見慣れた形の中から選んでいるからです。

入力できるパスフレーズ

ノートパソコンのログインや、パスワード管理ツールのマスターパスワードのように、どうしても手で入力する必要がある場合は、ランダムな単語を並べたパスフレーズが現実的な選択肢です。7,776語のリストからランダムに6語選ぶと、約77.5ビットになります。記号だけのランダムな文字列と比べて、単語のほうがはるかに覚えやすいのもメリットです。ただし、単語は必ずランダムに選ぶ必要があります。自分で選んだ4語は、語数から想像されるよりずっと弱くなります。人は、よく知っている単語を、よく知っている組み合わせで選ぶ傾向があるからです。サイコロを使った単語リストが一般的なのはこのためです。選ぶのは自分の癖ではなく、サイコロになります。パスワード生成ツールは、好みの区切り文字を選び、大文字や数字を任意で加えて、この方法でパスフレーズを作れます。

本当のリスクは使い回し

長さも大切ですが、1回の情報漏えいを多くのサービスへの被害に広げてしまうのは、たいてい使い回しです。あるサイトから情報が漏えいすると、そのメールアドレスとパスワードの組み合わせが、ほかの人気サービスで試されることがよくあります。これはクレデンシャルスタッフィングと呼ばれます。紙の上では強いパスワードでも、ほかでも使っていれば完全に弱点になります。

パスワード管理ツールを使えば、この問題は解決します。アカウントごとに別々のパスワードを生成して保存し、自動で入力してくれるため、覚えるのは強力なマスターパスワード1つだけで済みます。ブラウザやスマートフォンのOSにも管理機能があり、単独のアプリも存在します。どれを使うにしても、まずメールと銀行口座で二要素認証を有効にしてください。メールアカウントは、ほかのアカウントのパスワードを再設定する際の鍵になるからです。

米国の標準化機関であるNISTは、記号の必須化のような複雑さのルールより、長さを重視しています。また、漏えいの兆候がない限り、定期的な強制変更も不要としています。数か月ごとにパスワードの変更を求めたり、長いパスワードや貼り付けを拒否したりするサイトは、古い慣習に従っています。それはサイト側の弱点であり、より弱いパスワードを選ぶ理由にはなりません。

簡単なチェックリスト

• パスワードは自分で考えず、生成ツールで作る。
• 復旧が難しいアカウントには、少なくとも16文字のランダムな文字列、または6語のランダムな単語を使う。
• アカウントごとに一意のパスワードを使い、管理ツールで保管する。
• 提供されている場合は、必ず二要素認証を有効にする。
• 利用しているサービスから情報漏えいの報告があったら、すぐにパスワードを変更する。

ルーターのパスワードを共有したい場合は、QRコードでWi-Fiを共有する方法で、声に出さずに渡せます。

fixmintでの作り方

1. パスワード生成ツールを開き、Random characters を選択したままにします。
2. Length を16以上に設定します。重要なアカウントの場合は20以上にしてください。初期値は20で、4種類の文字セットがすべてチェックされています。
3. Estimated strength を確認します。ツールは、50ビット未満を弱い、50〜69ビットを普通、70〜99ビットを強い、100ビット以上を非常に強いと判定します。
4. Regenerate を押して新しい5つのパスワードを表示し、1つをパスワード管理ツールにコピーします。ほかの場所では使わないでください。
5. 手で入力するマスターパスワードが必要な場合は、Passphrase を選び、Words を6に設定して、入力しやすい区切り文字を選びます。

よくある質問

強いパスワードには記号が必要ですか？

いいえ。ランダムな記号を加えるとビット数は少し増えますが、長さのほうがより大きく効きます。英字と数字だけでも、十分長いランダム文字列なら強力です。

強いパスフレーズにするには、何語必要ですか？

7,776語のリストからランダムに6語選ぶと、約77.5ビットになります。ほとんどのアカウントに対して、十分な強度の目安です。

生成したパスワードをブラウザに保存させても安全ですか？

ほとんどの人にとっては妥当な選択です。ただし、端末に画面ロックがかかっていて、ブラウザのプロファイルが保護されていることが前提です。主なリスクはパスワードそのものではなく、端末側にあります。