安全なパスワードの作り方ガイド｜長さ・乱数・使い回しの注意点

新しいサービスに登録するたびに求められるパスワード。「大文字と記号を入れて複雑に」と意識する人は多いのですが、実際に安全性を左右するのは、複雑さの印象よりも「長さ」と「予測のしにくさ（ランダムさ）」です。このガイドでは、パスワードが破られる仕組みから逆算して、現実的に守れる作り方と管理の考え方を解説します。

パスワードはどうやって破られるのか

攻撃の代表的な方法は大きく2つあります。1つは「総当たり（ブルートフォース）」で、可能な文字列の組み合わせを片端から試す方法です。もう1つは「辞書攻撃」で、よく使われる単語や、過去に漏れたパスワードのリストを使って試す方法です。名前・誕生日・好きな言葉などの意味のある文字列は、辞書攻撃の候補に真っ先に入るため、見た目が複雑でも弱くなります。逆に、意味を持たないランダムな文字列は辞書に載らず、総当たりでしか破れません。

安全性は「組み合わせの数」で決まる

総当たりへの強さは、使える文字の種類と桁数で決まります。たとえば英小文字だけの8桁は約2,088億通りですが、英大小文字＋数字＋記号（約94種）の12桁では約4,700京通り以上になります。桁数が1つ増えるごとに組み合わせは文字種の数だけ倍増するため、「記号を1つ足す」より「桁数を伸ばす」ほうが効率よく強くなります。

ただし、これは「完全にランダムな文字列」の場合の話です。人間が考えた文字列は偏りが大きく、実際の強さは表の数字よりかなり下がります。これが、生成ツールで乱数から作ることを推奨する理由です。

生成ツールを使うときの設定

パスワード生成ツールを使う場合は、次の設定が目安です。

• 長さは最低12桁、銀行やメールなど重要なアカウントは16桁以上
• 文字種は英大小文字・数字・記号をすべて有効にする（記号を受け付けないサービスでは記号なしで桁数を伸ばす）
• 紛らわしい文字（0とO、1とlなど）を除外する設定がある場合は、転記が必要な場面でのみ使う
• 生成はサービスごとに1つずつ行い、同じ文字列を複数のサービスで使い回さない

なお、本体サイトのパスワード生成ツールはブラウザ内で乱数を生成し、入力・生成結果をサーバーへ送信しない設計です。生成したパスワード自体も、ページを閉じれば残りません。

一番危ないのは「使い回し」

どれだけ強いパスワードでも、複数のサービスで使い回していると、1か所から漏れた時点で他のサービスにも不正ログインされる「パスワードリスト攻撃」の対象になります。対策は単純で、サービスごとに別のパスワードを使うことです。数が増えて覚えきれない場合は、覚えるのではなくパスワード管理アプリに記録するのが現実的です。管理アプリを使う場合は、そのロック解除用のマスターパスワードだけは特に長く（20桁程度）ランダムなものにし、二段階認証も併用してください。

よくある質問

Q. 定期的にパスワードを変更したほうが安全ですか？
A. 現在の公的ガイドラインでは、漏洩の兆候がない限り定期変更は必須とされていません。変更のたびに安易な文字列へ劣化するほうが問題で、「漏れた可能性があるとき・使い回しに気づいたときにすぐ変える」運用のほうが有効です。

Q. パスフレーズ（単語の組み合わせ）は有効ですか？
A. 無関係な単語を4つ以上つなげた長いフレーズは、覚えやすさと長さを両立できます。ただし単語の選び方に意味のつながりがあると予測されやすくなるため、選出自体もサイコロや乱数に任せるのが理想です。自分で打つ場面が多いマスターパスワード向けの方法です。

Q. 生成したパスワードをメモしてもいいですか？
A. 紙のメモ自体が直ちに危険なわけではありませんが、PCのモニターに貼るなど第三者の目に触れる場所は避けてください。基本的にはパスワード管理アプリへの保存が推奨されます。

まとめ

パスワードの強さは「長さ×ランダムさ」で決まり、人間の工夫では補えません。12桁以上のランダム生成、サービスごとの個別設定、二段階認証の併用、この3点を守るだけで実務上のリスクは大きく下がります。

ツール: パスワード生成（saikouda.trade）