強いパスワードとはどのようなものですか？
強いパスワードとは、十分に長く、十分にランダムで、個人情報と無関係なものです。「P@ssw0rd123」のように複雑そうに見えて実際にはありふれた書き方より、ランダムに生成した 16 文字以上のパスワードのほうが推測も総当たり攻撃もはるかに困難です。数字・小文字・大文字・記号を混ぜ、誕生日、電話番号、氏名、会社名など推測できる情報は避けてください。
crypto.getRandomValues で安全に生成されます。サーバーに送信されることはなく、ページを再読み込みすると消えます。測るのは「見た目の乱雑さ」ではなく、すべての可能性を試し尽くすのに何回かかるかです。使える文字が多く、桁数が長いほど、その数字は速く増えます。数字だけなら 1 桁増えるごとに 10 倍、大文字・小文字・数字を使えば 1 桁増えるごとに 62 倍です。したがって、凝った記号を足すより長さを足すほうがほぼ常に効果的で、英数字 12 桁の組み合わせ数は、記号を詰め込んだ 8 桁をすでに大きく上回ります。強度を本当に下げるのは予測しやすさです。Password1! は形式上 4 種類の文字がそろっていますが、どの辞書でも先頭の数行に並んでいます。
そもそも記憶に頼るものではありません。合理的なやり方は、ランダムなパスワードはパスワードマネージャーに預けることです。ブラウザ内蔵のもので十分で、覚えておく必要があるのはそれを解錠するマスターパスワード 1 つだけです。マスターパスワードは無関係な単語をつないだ長いパスフレーズにできます。たとえばランダムな名詞を 4 つか 5 つ並べれば、長いうえに覚えやすく、記号の羅列よりずっと確実です。実際に手で入力する必要があるのは、端末のログイン、マスターパスワード、二段階認証のバックアップコードだけで、残りはマネージャーの自動入力に任せられます。
1 つの「強いパスワード」をすべてのサイトで使い回すのは、リストの中で最も弱いサイトに自分の安全を預けるのと同じです。どこか 1 か所が漏れれば、リスト型攻撃のスクリプトはただちにそれをメールやクラウドストレージで試します。末尾の数字を回す方式（abc2024 を abc2025 にする）も同様に無効で、流出データに前の版がある以上、次の版を当てるのは数回の試行で足ります。氏名のローマ字、生年月日、電話番号の文字を置き換える方法（a を @、o を 0 にする）は、パスワード辞書に対応する規則がとうの昔からあり、難易度はほとんど上がりません。付箋やチャットの保存メッセージ、平文の表計算に書いておくのは、リスクを解読から漏洩に移し替えているだけです。
1 つめ、すぐにパスワードマネージャーへ保存してください。あとで入れようと考えないこと。このページを再読み込みすれば、ここには何も残りません。2 つめ、メール・決済・クラウドストレージといった重要なアカウントで二段階認証を有効にしてください。パスワードが漏れたあとでも、ログイン試行のほとんどを防いでくれます。3 つめ、あるサイトから情報漏洩の通知が届いたときは、そのサイトのパスワードだけ変えれば十分です——ただし、もともと使い回していなければの話です。
強いパスワードとは、十分に長く、十分にランダムで、個人情報と無関係なものです。「P@ssw0rd123」のように複雑そうに見えて実際にはありふれた書き方より、ランダムに生成した 16 文字以上のパスワードのほうが推測も総当たり攻撃もはるかに困難です。数字・小文字・大文字・記号を混ぜ、誕生日、電話番号、氏名、会社名など推測できる情報は避けてください。
人はどうしても意味のある単語、日付、キーボードの並び、少しの記号置き換えに頼りがちですが、これはまさにパスワード辞書やリスト型攻撃のツールが狙うパターンです。ランダムなパスワードには意味も規則性もないため、よくある単語リストから当てられることがありません。メール、クラウドサービス、管理画面、データベースのアカウントなど重要な場面ほど効果的です。
一般的なサイトのアカウントなら 12 文字以上、重要なアカウントなら 16 文字以上をおすすめします。サイト側が許すなら、このツールでは最長 64 文字まで生成できます。総当たり攻撃に必要な時間は長さに対しておおむね指数関数的に増えるため、記号を 1 つ 2 つ足すより長さを伸ばすほうが効果的です。
サイト、アプリ、システムごとに別のパスワードを使ってください。そうすれば、どこか一箇所で情報漏えいが起きても、同じパスワードでメール、オンラインストレージ、決済、サーバーなど他のアカウントに入られることはありません。ランダムなパスワードはパスワード管理ツールに保存するのが最善で、覚えた 1 組を使い回すのはおすすめできません。
いいえ。パスワードの生成はすべてブラウザ内で完結し、ブラウザ標準の crypto.getRandomValues で乱数を生成します。結果がサーバーに送信されることも、ページに残り続けることもありません。ページを再読み込みすると、生成結果は消えます。
記号は文字空間を広げますが、多ければよいというものではありません。サイトやルーター、古いシステムでは記号の扱いがまちまちで、コピーや貼り付け、ログインに失敗することもあります。まず使う相手のシステムがどの文字を受け付けるかを確認し、それに合わせてこのツールの記号を設定してください。
紛らわしい文字や、使う相手のシステムが受け付けない文字を取り除くのに向いています。たとえば i、I、l、1、o、O、0 はフォントによってほとんど区別がつきません。引用符、スペース、バックスラッシュを受け付けないシステムもあります。除外しておくと、十分なランダム性を保ったまま手入力しやすいパスワードになります。
使えます。用途に合わせて長さと文字種を調整してください。Wi-Fi のパスワードは長めにできることが多く、サーバーやデータベース、管理画面には強度の高いランダムな値をおすすめします。API キーに決まった形式がある場合は、そのプラットフォームの生成ルールに従ってください。