強力なランダムパスワードを作成する方法 (そして実際にそれを覚えておく方法)

ほとんどのパスワードは、巧妙な推測によって破られることはありません。壊れているのは、短い、再利用されている、または予測可能なパターンから構築されているためです。強力なランダムパスワードはパターンを完全に削除します。

重要なポイント

• 賢い置換ルールよりもランダム性が重要です。
• 長さは強度を高める最も簡単な方法です。
• すべてのアカウントに一意のパスワードを使用します。
• パスワードはメモリやスプレッドシートではなく、パスワード マネージャーに保存してください。
• 利用可能な場合は常に 2 要素認証をオンにします。

人間が選んだパスワードが失敗する理由

人々はパターンを見つけるのが得意ですが、予測不可能なことは苦手です。一般的な選択肢は、名前、日付、スポーツ チーム、キーボード ウォーク、および同じ少数の置換に集中しています。つまり、a は @ になり、o は 0 になり、最後に感嘆符が表示されます。

攻撃者はこれらの習慣を知っています。彼らは、漏洩したパスワードの辞書、それらの辞書を拡張するルール、および高速ハードウェアを使用します。 Summer2026 などのパスワード!複雑に感じるかもしれませんが、パスワード解析ツールが予期するパターンに従っています。

ランダム生成によりパターンの問題が回避されます。人に予測不可能性を発明するよう依頼するのではなく、ジェネレーターは安全なランダム ソースを使用して、定義されたセットからキャラクターを描画します。結果を記憶するのが難しい場合があるため、パスワード マネージャーがワークフローに組み込まれます。

エントロピー: 重要な数値

エントロピーは不確実性をビット単位で測定します。パスワードが一連の可能性から均一に選択された場合、そのエントロピーは可能性の数の底 2 の対数になります。 4 桁の PIN には約 13 ビットのエントロピーがあります。印刷可能な 94 文字からランダムに抽出された 16 文字のパスワードには、さらに多くの機能があります。

エントロピーは長さとは同じではありません。予測可能なフレーズから作成された 20 文字のパスワードは、ランダムな 12 文字のパスワードよりも実際のエントロピーが小さくなる可能性があります。重要なのは、攻撃者が同様に可能性の高い選択肢をどれだけ考慮しなければならないかということです。

ほとんどのオンライン アカウントでは、16 文字以上のランダムなパスワードが強力なデフォルトです。サービスで許可されている場合は、20 文字以上の文字が望ましいです。正確なしきい値は脅威モデルとサービスのレート制限によって異なりますが、ランダムな文字列を長くすることが悪い考えになることはほとんどありません。

長さと複雑さの関係

多くの場合、パスワード ポリシーでは大文字、小文字、数字、記号が必要になります。これらのルールは役に立ちますが、長さはさらに効果的です。ランダムな文字が追加されるたびに、検索スペースが増加します。文字セットを増やすことも役立ちますが、通常は 1 文字を追加した場合の効果が大きくなり、推論が容易になります。

実際的なアプローチは、サービスが受け入れる最長のパスワードを文字タイプを組み合わせて使用​​することです。サイトの長さが 12 文字に制限されている場合は、完全な長さを使用し、許可されているすべての文字タイプを含めてください。 64 文字を受け入れる場合は、12 文字で停止しないでください。

そっくりなキャラクターと使いやすさ

0 と O、または 1、l、I などの文字は、パスワードを読み上げたり画面から入力したりするときに混同しやすいです。多くのジェネレータは、類似品を除外するオプションを提供しています。これにより、文字セットがわずかに減少しますが、手動入力でエラーが発生しにくくなります。

使いやすさはセキュリティの一部です。入力が非常に難しいパスワードを付箋に書いても役に立ちません。パスワード マネージャーを使用してコピーして貼り付け、自動入力が利用できないいくつかの場所用に手動で入力したパスワードを予約します。

人間にはパスフレーズ、マシンにはランダムな文字列

ランダムに選択されたいくつかの単語で構成されるパスフレーズは、強力で記憶に残るものになります。特に単語が均一に選択され、リストが大きい場合、大きな単語リストから 5 ～ 7 つの単語を使用すると、かなりのエントロピーが得られる可能性があります。

覚えておく必要があるマスター パスワードにはパスフレーズを使用します。パスワード マネージャー内に保存されている個々のアカウントには、長いランダムな文字列を使用します。これにより、人間の記憶と機械が生成した独自性が組み合わされます。

ストレージ、再利用、および 2 要素認証

強力なパスワードはアカウント セキュリティの一部にすぎません。

• 強力なマスター パスワードを持つ信頼できるパスワード マネージャーを使用します。
• すべてのアカウントに一意のパスワードを生成します。
• 2 要素認証 (できればハードウェア キーまたは認証アプリ) を有効にします。
• リカバリ コードを安全なオフラインの場所に保管してください。
• サービスが侵害を報告した場合は、直ちにパスワードを変更してください。

パスワードを再利用すると、1 つの侵害が多数の侵害に変わります。パスワード マネージャーを使用すると、マスター パスワードを覚えておくだけで済むため、固有のパスワードを実用的にすることができます。

このサイトのパスワード生成機能の仕組み

ジェネレーターは crypto.getRandomValues() を使用し、完全にブラウザー内で実行されます。選択した文字セットを組み合わせて均一に描画し、その結果生じるエントロピーを推定します。パスワードはどこにも送信されません。

この設計により、漏洩が軽減されます。サーバー側のパスワード ログや、秘密を伝えるネットワーク リクエストは存在しません。残りのリスクは、マルウェアやデバイスの侵害など、ローカルなものです。オペレーティング システムとブラウザを常に最新の状態に保ち、信頼できないデバイスでパスワードを生成しないようにしてください。

結論

強力なパスワードは長く、ランダムで一意であり、安全に保管されます。複雑さのルールは二の次です。安全なソースを使用して生成し、結果をパスワード マネージャーに保存し、2 番目の要素を追加します。これらの習慣は、単一の賢明な文字置換よりもセキュリティに役立ちます。