安全なパスワードの作り方と管理の基本
弱いパスワードはアカウント乗っ取りの主な原因の一つです。パスワードの強度を決める要素を理解して、安全なパスワードを生成・管理する習慣を身につけましょう。
パスワードの強度を決める要素
パスワードの強度は主に「長さ」と「文字種の多様性」で決まります。8文字のパスワードは総当たり攻撃で数分〜数時間で解読できますが、16文字以上かつ大文字・小文字・数字・記号を混在させると現実的な時間では解読できません。同じ文字種でも長さが2倍になると試行回数が指数関数的に増えます。
パスワードのNGパターン
辞書に載っている単語・誕生日・名前・連続した数字（123456・password・qwerty）は避けてください。これらはブルートフォース攻撃の辞書に最初に含まれます。同じパスワードを複数サービスで使い回すと、1つのサービスが漏洩したときに他のアカウントが芋づる式に乗っ取られるリスクがあります（クレデンシャルスタッフィング攻撃）。Have I Been Pwnedのような漏洩チェックサービスでは過去に流出したパスワードのハッシュデータベースと照合できます。また「複雑に見えるが実は規則的」なパターン（P@ssw0rd・Winter2024!）も辞書に含まれており、安全ではありません。パスワードジェネレーターで生成した真のランダムパスワードを使うことが最善策です。
パスフレーズの活用（デスクトップ版）
パスフレーズは「correct-horse-battery-staple」のように複数の英単語をつないだ長いパスワードです。ランダムな文字列より記憶しやすく、長さによる強度も十分に確保できます。デスクトップ版パスワードジェネレーターではパスフレーズ生成機能を搭載しています。4単語のパスフレーズは12〜16文字以上のランダム文字列と同等かそれ以上の強度を持ちます（エントロピー計算に基づく）。XKCD方式（xkcd.com/936）として広く知られており、Dicewareという手法で物理サイコロとワードリストから生成する本格的な実装もあります。マスターパスワードのように覚える必要があるパスワードにはパスフレーズが特に有効で、パスワードマネージャーの解除パスワードとしても推奨されます。
パスワードマネージャーとの組み合わせ
パスワードジェネレーターで生成した複雑なパスワードは、1Password・Bitwarden・KeePass・Dashlaneなどのパスワードマネージャーで保存するのが最善です。マスターパスワードだけを覚えればよく、各サービスごとに異なる強力なパスワードを使えます。パスワードマネージャーが内蔵するパスワードジェネレーターは自動入力と連携するため一番使いやすいですが、外部ツール（Password Generator）を使って生成し手動で登録する運用でも十分です。Bitwardenはオープンソースで無料プランが充実しており、セルフホストも可能なため企業利用にも向いています。重要なアカウントには必ず一意のパスワード＋二段階認証（TOTP）を組み合わせることがセキュリティの基本です。