強力なパスワードを作るもの

パスワードの「強度」は、ほとんどの人がパスワードのさまざまな文字タイプによって決定されると理解しています。しかし、サインアップフォームは複雑さがセキュリティであると考えるかもしれませんが、攻撃者は同意しません。複雑さは、もはや現代の脅威モデルを防御しません。強力なパスワードを作るものは何ですか？まず、ほとんどの人が直面している実際の脅威モデルを調べる必要があります。

パスワードの複雑さが要点を見逃している

パスワードの「強度」は、多くの場合、複雑さ、または記号、数字、大文字と小文字を使用して測定されるパスワードのランダム性の量の関数にすぎません。ただし、パスワードにいくつかの異なる文字を追加しても、パスワードの横にある緑色の「強度」バーが示すように、その「強度」を有意に高めることはできません。複雑さはブルートフォース攻撃の難易度を高めますが、そのような攻撃はまれです。

代わりに、クレデンシャルの盗難は、大規模なデータの強盗や大規模な組織からのリークで発生します。攻撃者がパスワードをプレーンテキストで持っている場合、パスワード強度は役に立ちません。

一意のパスワードを使用する

ほとんどの人は、「クレデンシャルスタッフィング」と呼ばれるものに対して非常に脆弱です。パスワードの再利用に対する人間の傾向を悪用するために、侵害されたクレデンシャルが一般的なプラットフォームで試されます。これは、「弱い」パスワードよりもはるかに大きな危険です。結局のところ、すべてのプラットフォームで再利用される1つの「非常に強力な」完全にランダムなパスワードは、1回のリーク後に悲惨なものになります。

パスワードの強度を単一のプロパティとして考えるのではなく、認証システムの強度を考える必要があります。最新のパスワードはそのシステムを作成するため、そのように見なす必要があります。パスワードマネージャーを使用すると、一意のパスワードを使用する方がはるかに簡単です。まだ行っていない場合は、今すぐパスワードマネージャーを使用してください。

長さは複雑さよりも重要です

何年もの間、私たちは複雑さをパスワードの最も重要な要素と考えるように訓練されてきました。ブルートフォース攻撃はまれですが、複雑さはブルートフォースクラッキングに対する最善の防御ではありません。長さは実際にははるかに重要です 。

パスワードの長さはクラッキング時間と指数関数的な関係があるため、長さを適度に長くすると、クラッキング時間が大幅に長くなる可能性があります。一方、複雑さはクラッキング時間とより直線的な関係があります。

この例を見てください：高性能のクラッキングマシンは、*nRyU86)のような複雑に見えるパスワードを破ることができます わずか80分で。大文字を1文字増やすと、その時間は36時間近くになりますが、文字を記号に変更しても、クラッキング時間に意味のある変化はありません。

長さの指数関数を最大限に活用しましょう。既知の辞書の単語を使用し、合計16文字の長さの4単語のパスフレーズはどうですか？辞書攻撃（ランダムに推測を生成するのではなく、既知の単語のデータベースを使用してパスワードを推測する攻撃）を考慮した場合でも、900億かかります。 パスワードを解読するのに何年もかかります。

複雑さを忘れてください。最適なパスワードは実際にはパスです-フレーズ 。同様に強力な複雑なパスワードを思い出すことはできません。しかし、脳は面白い話や驚くべき画像が大好きです。ランダムに生成されたフレーズに対して、ばかばかしいほど記憶に残るストーリーを生成すると、それを忘れるのに苦労します。

真にランダムなパスフレーズの生成が重要です。誕生月など、自分に関連する単語を選択すると、パスフレーズを推測しやすくなります。 EFFのパスワードダイスを使用して、ランダムなパスフレーズを安全かつ確実に生成します。

すべての2要素認証システムをオンにする

すべてのシステムがリークします。パスワード強度はあなたを救うことはありません。では、どうすれば自分を守ることができますか？二要素認証（2FA）システムは、セキュリティの追加レイヤーを提供します。 2FAは、2種類の資格情報を要求します。知っている （つまり、パスワード）と持っているもの （つまり、あなたの電話）。ほとんどの2FAシステムでは、これらのコードはリモートサーバーによって生成されます。サーバーは、ログイン時にアクティブなコードをユーザーに送信します。

残念ながら、攻撃者はSIMカードの複製を通じてSMSコードを比較的簡単に傍受できます。この盗聴を防ぐには、Authy、Google Authenticatorなどの2FAアプリ、または1Passwordなどの2FAサポートを備えたパスワードマネージャーを使用して、モバイルデバイスでコードを生成します。

結論

単一のパスワードの「強さ」は赤いニシンです。強力な認証システムがより重要です。リークやデータの盗難は必然的に発生します。一意のパスワードは、被害を封じ込めます。二要素認証により、盗まれた資格情報の被害をゼロにすることができます。