パスワード生成ガイド：強いパスワード、パスフレーズ、エントロピーの意味

パスワード生成ツールの使い方

すべて1つの画面で、あなたの端末の中だけで完結します。まず上で「パスワード」か「パスフレーズ」を選びます。パスワードなら、文字数スライダーを4〜64文字の好きな位置に動かし、大文字・小文字・数字・記号のうち使う種類をオンにします。オンにした種類は必ず1文字以上入るので、「大文字・数字・記号を含めること」といったサイトのルールにも対応できます。読み上げたり画面を見ながら入力したりするなら、「紛らわしい文字を除く」をオンにして 0、O、1、l、I を外しましょう。

パスフレーズなら、単語数（3〜8）、単語の区切り文字、頭文字を大文字にするか、数字を入れるかを選びます。「1個」か「5個まとめて」を選んで作成を押せば完了。結果ごとにコピーボタンがあり、下の強度メーターにエントロピーのビット数、強度の目安、解読までの推定時間が表示されます。

• パスワードかパスフレーズを選ぶ。
• 文字数か単語数を決める。
• 文字の種類、または区切り文字とオプションを選ぶ。
• 作成を押して、気に入ったものをコピー。
• そのままパスワード管理アプリに保存する。

強いパスワードの条件

強さは見た目の複雑さではなく、攻撃者が試さなければならない候補の数で決まります。P@ssw0rd! はごちゃごちゃして見えますが、解読ツールはよくある単語にお決まりの置き換えをしたものから試すので、数秒で破られます。本当にランダムな文字列は違います。1文字ずつ独立に決まり、1文字増えるごとに候補の数が掛け算で増えていきます。だから工夫よりも長さが効きます。ランダムな12文字を16文字にするだけで、当てにくさは数千万倍になります。

もう1つはランダムさです。人は誕生日、ペットの名前、qwerty のようなキー配列、どのサイトでも同じお気に入りのパターンを選びがちで、攻撃者はそうした癖を知り尽くしています。このツールはブラウザの暗号用乱数（crypto.getRandomValues）と「棄却サンプリング」という方法で、使える文字がどれも完全に同じ確率で出るようにしています。覚えられるパターンも、突ける偏りもありません。

3つ目は使い回さないこと。完璧なパスワードでも、複数のサイトで使った瞬間に弱くなります。1つのサイトから漏れれば、攻撃者はそれを他のあらゆるサイトで試すからです。1アカウントに1パスワード。

パスフレーズ：強くて覚えやすい

パスフレーズは、ランダムな単語をいくつかつないだ、意味のない短い文のようなパスワードです。ポイントは、単語を自分ではなく偶然に選ばせること。歌詞や名言はまったくランダムではありません。このツールはアプリに入った短い英単語2,048語から1語ずつ選ぶので、1語ごとにちょうど11ビットのエントロピーが加わります。5語で55ビット、6語で66ビット、ランダムな数字を入れれば数ビット上乗せされます。

パスフレーズが活きるのは、どうしても自分で入力したり覚えたりする必要がある少数のパスワードです。パスワード管理アプリのマスターパスワード、パソコンのログイン、スマホのバックアップ用などです。長いので強く、実在の単語なのでスマホのキーボードでも記号の羅列よりずっと打ちやすいのが利点です。頭文字を大文字にしてもパターンが読めるので強さは増えませんが、大文字必須のサイトでは役に立ちます。

エントロピーと解読時間をわかりやすく

エントロピーはビットで表し、パスワードが「同じ確率の候補が何通りあるうちの1つか」を示します。1ビット増えるごとに候補は2倍になるので、60ビットは約115京通り、80ビットはその約100万倍です。強度メーターは設定からこの値を正確に計算しています。パスワードでは、選んだ長さで選んだ種類がすべて1文字以上含まれる文字列の数を数え、パスフレーズでは単語の選び方に数字の位置と値を掛け合わせます。

解読時間は、毎秒100億回試す高速なオフライン攻撃を前提にしています。保護の甘い流出パスワードデータベースを最新のグラフィックボード1枚で攻撃すれば十分に出せる速さです。攻撃者は平均して候補の半分を試したところで正解にたどり着きます。さらに、攻撃者があなたの設定を正確に知っている前提なので、見積もりを甘くしていません。目安は、45ビット未満が弱い、45〜60がふつう、60〜80が強い、80以上がとても強いです。

• 使い捨てや重要でないアカウント：45〜60ビット
• 買い物やSNSなど日常のアカウント：60〜80ビット
• メール・銀行・仕事・パスワード管理アプリ：80ビット以上

パスワード管理アプリと2段階認証

何十個ものバラバラなランダムパスワードを覚えられる人はいませんし、覚える必要もありません。パスワード管理アプリは暗号化された金庫にパスワードを保管し、正しいサイトで自動入力し、使い回しや流出したパスワードを知らせてくれます。ここで強いパスワードを作り、アカウント作成や変更のときに管理アプリへ貼り付ければ、もう見る必要はありません。管理アプリ自体は、自分で覚える長いパスフレーズで守りましょう。

2段階認証（2FA）は、認証アプリのコード、パスキー、セキュリティキーなど2つ目の確認を加えます。パスワードが漏れても、攻撃者はログインできません。ほかのアカウントの多くはメールでパスワードを再設定できるので、まずメールから有効にしましょう。

• アカウントごとに別のパスワードを使う。
• パスワードはメモ・チャット・スクショではなく管理アプリに。
• 2段階認証やパスキーは使えるところ全部でオンに。まずはメールから。
• サービスから流出の連絡が来たらすぐ変更する。
• パスワードをメッセージやメールで送らない。心当たりのないログインリンクは疑う。