強力なパスワードの作り方完全ガイド|「8 4ルール」でアカウントを守る実践セキュリティ対策

著者:Ramesh Natarajan|公開日:2008年6月8日

「パスワードは歯ブラシと同じように扱うこと。他人に使わせてはいけないし、6か月ごとに新しいものへ替えるべきだ」——クリフォード・ストール(Clifford Stoll)

Webサイトでアカウントを作るとき、一瞬「パスワードのジレンマ」に直面したことはありませんか?
覚えやすい弱いパスワードにするか、覚えにくいが強固なパスワードにするか。
本記事では、このジレンマを克服し、安全で強力なパスワードを作るためのルールとガイドラインを紹介します。長年にわたりパスワードの安全管理に取り組んできた筆者の経験に基づく、実践的な内容です。

1. 押さえるべき2つの必須ルール——「8 4ルール」とは

パスワードを作るとき、最低限守るべきルールが次の2つです。

ルール1:パスワードの長さ

8文字以上を徹底しましょう。文字数が多いほど、攻撃者が総当たり(ブルートフォース)攻撃で解読するのに要する時間が長くなります。可能であれば10文字以上が理想的です。

ルール2:パスワードの複雑さ

以下の4種類の文字グループから、それぞれ少なくとも1文字ずつ含めましょう。

1. 小文字のアルファベット(a〜z)
2. 大文字のアルファベット(A〜Z)
3. 数字(0〜9)
4. 記号(! @ # など)

この2つのルールを合わせて、筆者は「8 4ルール」と呼んでいます。

• 8 = 最低8文字の長さ
• 4 = 小文字+大文字+数字+記号を各1文字以上

今まで何も意識せずにパスワードを作っていた人にとって、「8 4ルール」を守るだけでセキュリティは大幅に向上します。特に銀行や金融関連など機密性の高いサイトのパスワードがこのルールを満たしていない場合は、他の作業を中断してでも、今すぐ変更することを強くお勧めします。

2. 強力なパスワードを作るためのガイドライン

1. 「8 4ルール」を守る:前述のとおり、これが強力なパスワードの土台となります。
2. ユニークな文字を使う:少なくとも5種類の異なる文字を含めましょう。「8 4ルール」を守っていれば、すでに4種類は確保できています。
3. パスワード管理ツールを活用する:強力なパスワードほど覚えるのが難しいもの。信頼できるパスワード管理ツールを使い、パスワードを暗号化して安全に保管する習慣をつけましょう。無料で使える優れたツールが多数あり、Windows・Mac・Linuxに対応し、USBメモリから起動できるものもあります。自分に合ったツールを選んで活用してください。
4. パスフレーズを利用する:管理ツールを使いたくない場合は、パスフレーズが有効です。好きな歌の歌詞や馴染み深い言葉の頭文字を組み合わせます。例えば「Passwords are like underwears, change yours often!」というフレーズは、「Prlu,Curs0!」という強力なパスワードに変換できます。

3. 弱いパスワードを避けるためのチェックリスト

以下のような要素は、パスワードの一部に含めてもいけません。

1. ユーザー名と同じ、またはユーザー名の一部
2. 家族、友人、ペットの名前
3. 自分や家族に関する個人情報(生年月日、電話番号、車のナンバープレート、通りの名前、部屋番号など、簡単に調べられる情報も含む)
4. 連続した文字列(abcde、12345、qwert など)
5. 辞書に載っている単語(前後に数字や記号を付けただけのものも含む)
6. 言語を問わず実在する単語
7. 見た目の似た数字への置き換え(例:「o」を「0」に置き換えた passw0rd など)
8. 上記を逆順に並べたもの
9. 上記の前後に数字を付け加えたもの
10. 空のパスワード

4. パスワードに関する10の常識

どれも目新しい話ではありませんが、意外と見落とされがちなポイントばかりです。

1. 毎回まったく新しいパスワードを作る:既存アカウントのパスワードを変更する際、以前と同じものは使わないこと。「password1」「password2」のように数字だけ増やすのもNGです。
2. 6か月ごとにすべてのパスワードを変更する:パスワードの長さには限りがあるため、攻撃者に十分な時間と計算能力があれば、総当たり攻撃は最終的に成功してしまいます。カレンダーに繰り返し予定を設定し、定期変更を習慣にしましょう。
3. パスワードを書き留めない:強力なパスワードを作っても紙に書いておいては意味がありません。過去の調査では、パスワードを紙に書いてPCの近くに置く人が多く、付箋をマウスパッドの下に貼れば安全だと考える人さえいました。持ち運びたい場合は、USBメモリから起動できるパスワード管理ツールを利用しましょう。
4. 誰とも共有しない:友人や家族を含みます。「パスワードは下着と同じ、誰にも共有しない」という言葉のとおりです。子どもへのオンライン安全教育の一つとして、パスワードを共有しないことを教えましょう。
5. 複数サイトで同じパスワードを使わない:「メール系はこのパスワード、銀行系はあのパスワード」と使い回すのは非常に危険です。すべてのアカウントで固有のパスワードを設定しましょう。
6. 人の目がある場面で入力しない:キーボードの位置を探しながら人差し指でゆっくり入力するタイプの人は特に注意が必要です。背後から覗かれると簡単に暴かれてしまいます。
7. メールでパスワードを送らない:ハッカーはサポート担当者を装い、メールでユーザー名とパスワードを聞き出そうとすることがあります。正規のサイトや組織が、メールや電話でパスワードを尋ねることは決してありません。
8. 漏洩が疑われたら即座に変更する:少しでも盗まれた疑いがあれば、1分も無駄にせずすぐにパスワードを変更しましょう。
9. マスターパスワード未設定のまま「パスワードを保存」を使わない:ブラウザの保存機能を使うなら、必ずマスターパスワードを設定してください。設定していないと、そのブラウザを使える誰もが保存されたパスワードを平文で見られてしまいます。また、他人のPCでは保存ポップアップに「後で」と答え、保存しないようにしましょう。
10. 他人のPCでパスワードを入力しない:信頼できないコンピュータからのログインは極力避けること。特にネットバンキングなどの重要サイトは絶対に避けましょう。キーロガーによって打鍵が記録され、入力した内容すべてが盗まれる危険があります。

いかがでしたか?独自のパスワード作成ルールや工夫をお持ちの方は、ぜひコメント欄で共有してください。あなたの経験が、ほかの読者のセキュリティ向上につながります。