実際にパスワードを強くしているもの
効く属性は 4 つです。人が繰り返す助言の多くは、最も重要でない 1 つについての話です。
4 つの属性
- 長さ — 総当たりに対する支配的な要素。1 文字ごとに探索空間が倍になる。
- 無作為性 — 予測できない選択。パターンも辞書も文法も使えない。
- 唯一性 — 使い回さない。他の場所の漏洩がこのアカウントに届かない。
- 保存場所 — 記憶やメモファイルではなく、パスワード管理ツールに置く。
強くしないもの
文字を記号に置き換える（p@ssw0rd）のは、解読ツールが自動で試す既知の変換です。入力の正確さを犠牲にして、ほとんど何も得られません。
個人情報 — 名前、日付、ペットの名前、贔屓のチーム — は、標的型の攻撃者が最初に試すもので、しかも多くは公開されています。
各文字種を 1 つずつ強制する複雑さの規則は、「Summer2024!」のような型を生みがちです。予測しやすく、しかも覚えにくいという最悪の組み合わせになります。
実務的な作り方
パスワード管理ツールに、アカウントごとの 16 文字のランダムなパスワードを持たせます。自分で覚えなければならない数少ないパスワード — 管理ツールのマスターパスワード、端末のパスコード — には、ランダムな 6 語のパスフレーズを使います。約 78 bit で、しかも本当に思い出せます。
次に保存の問題を直してください。ここが他を全部壊す箇所です。使い回されたパスワードは、1 つの漏洩を連鎖的なアカウント乗っ取りに変えます。
よくある質問
強いパスワードは何文字必要ですか？
全文字種から 16 文字、約 103 bit です。それを超えると、リスクの中心は推測からフィッシングへ移ります。
パスワード生成器は信用できますか？
ローカルで動き、暗号学的な乱数源を使っていれば信用できます。前者はブラウザのネットワークタブで自分で確認できます。
二要素認証があれば強いパスワードは不要ですか？
二要素は別の失敗（フィッシングや使い回し）をカバーするもので、弱いパスワードや使い回しの言い訳にはなりません。両方使ってください。