パスワード強度チェック

パスワードの安全性は、理論的には「組み合わせの多さ(エントロピー)」で決まります。文字の種類(小文字・大文字・数字・記号)が多いほど、そして文字数が長いほど、総当たり攻撃(ブルートフォース)で解読されるまでの組み合わせ数が爆発的に増えるため、このツールでは文字数と文字種類の2つの要素からおおまかな強度を判定しています。

実際の不正アクセスの多くは、力任せの総当たりよりも「クレデンシャルスタッフィング」と呼ばれる手口によるものです。これは、どこかのサービスから流出したID・パスワードの組み合わせを使って、他のサービスへの不正ログインを試みる攻撃で、パスワードを複数サービスで使い回している場合に大きなリスクとなります。

誕生日、電話番号、ペットの名前、辞書に載っている単語など、他人が推測しやすい文字列は、文字数や種類の条件を満たしていても実質的な安全性は低くなります。攻撃者は無作為な組み合わせを試す前に、こうした「よくあるパスワード」や個人情報から推測できる文字列を優先的に試すためです。

記号を複雑に混ぜた短いパスワードよりも、無関係な単語をいくつかつなげた長いパスフレーズの方が、覚えやすく解読されにくいという考え方も広まっています。文字種類だけでなく、長さそのものを重視するのも有効な対策です。

入力した文字列はブラウザ内だけで処理され、サーバーには送信されません。とはいえ実際に使うパスワードそのものではなく、似た構成のダミー文字列で試すとより安心です。強度が高くても使い回しがあればリスクは残るため、パスワードマネージャーの利用や二段階認証の設定もあわせて検討することをおすすめします。

具体的な数字で見ると、小文字のみで8文字のパスワードの組み合わせは26の8乗、約2088億通りです。これを大文字・小文字・数字・記号の4種類すべてを含む12文字に変えると、1文字あたりの候補が94種類程度に増えるため、組み合わせは94の12乗、およそ4.8×10の23乗通りにまで跳ね上がります。文字数を4文字増やしただけでなく文字種類も増やしたことで、総当たり攻撃に必要な試行回数の桁数そのものが変わるほどの差が生まれる、という点がこのツールで文字数と文字種類の両方をスコアに加算している理由です。さらに文字数を伸ばす方向でも大きな効果があります。たとえば単語をハイフンでつないだ20文字程度のパスフレーズ(使用する文字種類は小文字とハイフン程度)であっても、組み合わせは27の20乗、およそ4.3×10の28乗通りとなり、先述した12文字・4種類のパスワードよりもさらにけた違いに解読されにくい計算になります。文字種類を複雑にするか、文字数そのものを伸ばすか、どちらのアプローチでも大幅に安全性を高められることが、この試算からも分かります。