安全なパスワードの作り方 — 長さ・文字種・エントロピー

「強いパスワード」とは、他人に推測されにくく、総当たり(ブルートフォース)でも破られにくいパスワードのことです。何となく複雑にするのではなく、なぜ強くなるのかを理解すると、無理なく安全な運用ができます。この記事では、その基準をやさしく解説します。

エントロピー(bit)という考え方

パスワードの強さは「エントロピー」という指標で表せます。これは「候補の総数」を対数で表したもので、bit(ビット)で示します。エントロピーが 1bit 増えるごとに、破るのに必要な試行回数がおよそ 2 倍になります。一般に、70bit を超えると強力とされます。

エントロピーは「文字種の数」と「長さ」で決まります。使える文字が N 種類、長さが L 文字なら、候補は N の L 乗になります。ここで効くのが、長さは「掛け算の回数」を増やすという点です。つまり、長さを伸ばすほうが、文字種を増やすより効率よく強くなります。

長さと文字種、どちらが効く？

• 長さを伸ばす: 最も効果が大きい。数文字増やすだけでエントロピーが大幅に上がる
• 文字種を増やす: 効果はあるが、長さほどではない。記号を足すより長くするほうが有利なことも多い
• 推測されやすい要素を避ける: 名前・誕生日・辞書に載る単語・キーボード配列(qwerty など)はエントロピーを実質下げる

使い回しが一番危険

どれだけ強いパスワードでも、複数のサービスで使い回すと危険です。一つのサービスから漏れると、同じパスワードを使った他のサービスにも侵入される(パスワードリスト攻撃)からです。サービスごとに異なるパスワードを使うことが、長さや文字種以上に重要です。

現実的な運用のコツ

十分に長くランダムなパスワードをサービスごとに用意し、パスワードマネージャーで管理するのが最も現実的です。覚える必要があるのはマネージャーのマスターパスワードだけで済みます。当サイトのパスワード生成ツールは、暗号学的乱数で強いパスワードを作り、エントロピーと強度メーターも表示します。生成したものをそのままマネージャーに登録すると安全です。