パスワードの安全な作り方と管理方法
「パスワードってどうやって作れば安全？」「同じパスワードを使い回しても大丈夫？」「二段階認証って必要？」
オンラインサービスへの登録が日常化する中、パスワードの安全管理は誰もが直面する課題です。しかし、「生年月日＋名前」「サービス共通の同じパスワード」といった危険な使い方は後を絶ちません。
この記事では、強力なパスワードの条件、安全な作り方、パスワードマネージャーの活用、そして二段階認証の重要性まで詳しく解説します。
パスワードを取り巻く現状
悲惨な現実：よくあるパスワード
NordPassの2024年調査によると、世界で最もよく使われているパスワードトップ5は以下の通りです。
- 123456
- 123456789
- password
- 12345678
- guest
これらはブルートフォース攻撃（総当たり攻撃）であれば1秒未満で破られるパスワードです。日本でも「password」「abc123」「111111」などの単純なパスワードが多く使われています。
データ漏洩の規模
2024年だけで、世界中で数十億件の認証情報が漏洩しました。Have I Been Pwned のデータベースには、12億件以上の漏洩したパスワードが蓄積されており、一度でも漏洩したパスワードを使い回していると、他のサービスでも不正ログインされる危険性が高まります。
日本の状況
日本警察庁の2024年の報告によると、不正ログインによる被害件数は年間数千件に上ります。特にSNSアカウントやネットバンキングの不正利用が多く、パスワードの脆弱性が直接的な原因となっています。
強力なパスワードの条件
長さが最も重要
パスワードの強度を決める最も重要な要素は長さです。使用文字の種類数をN、文字数をLとすると、組み合わせの総数はN^Lとなり、文字数が増えるほど指数関数的に強度が上がります。
| 文字数 | 英数字のみ(36種) | 全文字(95種) | ブルートフォース突破時間 |
|---|---|---|---|
| 6文字 | 約21億通り | 約735億通り | 1秒未満〜数秒 |
| 8文字 | 約2.8兆通り | 約6.6×10^15通り | 数分〜数時間 |
| 10文字 | 約3.6×10^15通り | 約5.9×10^19通り | 数日〜数週間 |
| 12文字 | 約4.7×10^18通り | 約5.4×10^23通り | 数年〜数十年 |
| 16文字 | 約7.9×10^24通り | 約4.4×10^31通り | 実質不可能 |
※ 現代のGPUを使った攻撃環境（1秒あたり100億回試行）での目安
文字の多様性
長さとともに重要なのが文字の多様性です。以下の4種類を組み合わせることで、組み合わせ数を飛躍的に増やせます。
- 英小文字：a〜z（26種）
- 英大文字：A〜Z（26種）
- 数字：0〜9（10種）
- 記号：!@#$%など（約33種）
全4種を使えば95種の文字から選べるため、同じ文字数でも英数字のみ（62種）よりはるかに強力です。
予測可能性の低さ
強力なパスワードは、人間や機械に予測されにくいものでなければなりません。以下のパターンは避けましょう。
- 辞書にある単語：「password」「sunshine」などは辞書攻撃で簡単に破られる
- 文字の置換：「p@ssw0rd」のような単純な置換も辞書攻撃の対象
- キーボードパターン：「qwerty」「asdfgh」などのキー配列パターン
- 個人情報：生年月日、名前、電話番号はSNS等から推測可能
- 連番・繰り返し：「123456」「aaaaaa」など
安全なパスワードの作り方
方法1：ランダム生成（最も推奨）
パスワード生成ツールを使って、完全にランダムな文字列を生成する方法です。人間の偏りが一切入らないため、最も強力なパスワードが作れます。
例：K7#mP2$vL9@nQ4!x（16文字、全文字種使用）
生成されたパスワードは人間には覚えられませんが、パスワードマネージャーに保存すれば問題ありません。
方法2：パスフレーズ方式
複数の無関係な単語を組み合わせる方法で、EFF（Electronic Frontier Foundation）が推奨している方式です。
例：staple-horsepower-correct-donation（4単語、31文字）
パスフレーズ方式のメリット：
- 長いパスワードが作れるため強度が高い
- 人間が覚えやすい
- タイプしやすい
4単語のパスフレーズは、ランダムな12文字のパスワードと同等以上の強度があります。
方法3：ダイスウェア方式
サイコロを使ってランダムに単語を選ぶ方法です。EFFが公開している6面ダイスと単語リストを使います。
- サイコロを5回振る（例：4-2-6-1-3）
- 数字の並び「42613」に対応する単語をリストから探す
- これを5〜6回繰り返し、単語を連結する
完全にオフラインでランダムなパスワードを生成できるため、最も高い信頼性があります。
やってはいけないパスワードの作り方
- 脳内ランダム：人間が「適当に」作ったパスワードには偏りがある（特定の文字を避ける傾向など）
- ルールベースの変換：「サイト名＋生年月日」などの規則的な生成は、一つが漏洩すると全てが破られる
- 有名なパスワードの改変：「P@ssw0rd」のような既知のパスワードの文字置換は効果がない
パスワードマネージャーの活用
なぜパスワードマネージャーが必要か
現代人は平均して80〜100個のオンラインアカウントを持っています。全てに異なる強力なパスワードを設定して覚えることは人間には不可能です。パスワードマネージャーは以下の問題を一挙に解決します。
- 全サービスに異なる強力なパスワードを設定できる
- パスワードを覚える必要がない（マスターパスワード1つだけ）
- 自動入力でフィッシングサイトへの入力を防止
- パスワードの強度チェックと漏洩監視
主要なパスワードマネージャー
| サービス | 料金 | 暗号化方式 | 特徴 |
|---|---|---|---|
| 1Password | 月額$2.99〜 | AES-256 | 最も人気、家族共有可 |
| Bitwarden | 無料／月額$1 | AES-256 | オープンソース、無料で高機能 |
| KeePass | 無料 | AES-256 | ローカル型、完全オフライン |
| Dashlane | 月額$3.33〜 | AES-256 | VPN付き、漏洩監視強化 |
パスワードマネージャーの仕組み
- マスターパスワードの設定：全てのパスワードを復号するための唯一のパスワード。これだけは絶対に覚える
- 暗号化保存：各サービスのパスワードはマスターパスワードで暗号化されて保存される
- ゼロ知識アーキテクチャ：サービス提供者は暗号化されたデータしか保持せず、マスターパスワードを知らないため復元できない
- 自動入力：ブラウザ拡張機能がURLを確認し、正しいサイトにだけパスワードを入力する
パスワードマネージャーの注意点
- マスターパスワードは最強に：全ての鍵を守る最後の砦。20文字以上のパスフレーズを推奨
- 緊急アクセス設定：マスターパスワードを忘れた場合のリカバリー手段を設定
- クラウドvs ローカル：クラウド型は便利だがクラウド側の侵害リスク、ローカル型はデバイス紛失リスク
二段階認証（2FA）の重要性
二段階認証とは
二段階認証（Two-Factor Authentication）は、パスワードに加えて2つ目の認証要素を要求する仕組みです。認証要素は以下の3種類に分類されます。
- 知っている情報（Knowledge）：パスワード、PIN、秘密の質問
- 持っている情報（Possession）：スマホ、認証アプリ、ハードウェアキー、SMS
- 自身の情報（Inherence）：指紋、顔、虹彩（生体認証）
二段階認証は、異なる種類の要素を2つ組み合わせることで安全性を高めます。パスワード（知っている情報）＋認証アプリ（持っている情報）が一般的な組み合わせです。
二段階認証の種類
SMS認証（強度：低）
- SMSで6桁のコードを受信して入力
- SIMスワップ攻撃のリスクあり
- NISTは2016年にSMS認証を非推奨に変更
認証アプリ（強度：中〜高）
- Google Authenticator、Authy、Microsoft Authenticator等
- TOTP（Time-based One-Time Password）方式
- 30秒ごとに6桁のコードを生成
- インターネット接続不要
- デバイス間同期対応のAuthyが便利
ハードウェアキー（強度：最高）
- YubiKey、Titan Key等の物理セキュリティキー
- FIDO2/WebAuthn規格
- フィッシング攻撃に対して完全に耐性
- Google、Microsoft、Appleが推奨
二段階認証の設定すべきサービス
以下のサービスでは必ず二段階認証を有効にしましょう。
- メールアカウント：他サービスのパスワードリセットに使われるため最優先
- ネットバンキング・決済サービス：金銭的被害を防ぐため必須
- SNSアカウント：乗っ取り被害が多発している
- クラウドストレージ：個人情報の漏洩を防ぐ
- パスワードマネージャー：全パスワードを守るため必須
パスワードのチェックと更新
漏洩チェック
Have I Been Pwned（haveibeenpwned.com）で自分のメールアドレスを入力すると、過去のデータ漏洩に含まれているか確認できます。多くのパスワードマネージャーも内部でこのデータベースを参照し、漏洩済みパスワードに警告を出します。
パスワード更新のタイミング
- 漏洩が確認された場合：即座に変更
- 疑わしいログイン履歴がある場合：即座に変更
- 同じパスワードを使い回している場合：全て異なるパスワードに変更
- 定期的な更新：重要なアカウントは年に1回程度の見直しを
なお、近年のNISTガイドラインでは「定期的なパスワード変更」は推奨されていません。むしろ、定期的変更はユーザーが弱いパスワードを選ぶ原因になると指摘しています。漏洩がない限り変更不要という考え方が現在の推奨です。
まとめ
パスワードの安全管理は以下の3本柱で成り立ちます。
- 強力なパスワードの作成：12文字以上、全文字種使用、ランダム生成
- パスワードマネージャーの活用：1サービス1パスワード、自動入力でフィッシング防止
- 二段階認証の有効化：パスワード漏洩時の最後の防波堤
パスワードの使い回しと単純なパスワードは、もはや「いつ被害に遭うか」ではなく「いつ破られるか」の問題です。今すぐ見直しを行いましょう。
パスワード生成ツール と Base64エンコードツール でチェックしてみてください。
※ 本記事の情報は参考までです。