強力なパスワードの作り方|覚えやすいパスワード生成のコツとおすすめツール

会員登録フォームでパスワードの作成を求められたとき、多くのユーザーが最初に考えるのは「自分にとって覚えやすく、自分に関連した内容なら絶対に忘れない」ということではないでしょうか。こうした発想で作られるのが「ILoveSally143」のようなパスワードです。しかし残念ながら、ハッカーはこの程度のパスワードなら1分とかからずに突破し、アカウントを完全に乗っ取ることができてしまいます。

近年、企業やWebサイトはユーザーに強力なパスワードの使用を啓発する取り組みを進めており、文字数や記号の使用を義務付ける制限によって、より安全なパスワード設定を促すようになっています。幸い、アカウント乗っ取りのニュースが頻繁に報じられ、強力なパスワードの重要性が強調されたことで、「パスワードは強固なものにすべきだ」という認識はほぼ浸透しました。それでも残る疑問は「そもそも“強力な”パスワードとは何か?」という点です。本記事では、強力なパスワードの条件と、その具体的な作成方法を詳しく解説します。

パスワードはどのように破られるのか

強力なパスワードの作り方を説明する前に、まずパスワードがどのように解読されるのかを知っておくことが重要です。パスワードの解読手法は複数ありますが、最も代表的なのが「ブルートフォース攻撃(総当たり攻撃)」と「辞書攻撃」の2つです。それぞれ詳しく見ていきましょう。

ブルートフォース攻撃(総当たり攻撃)

ブルートフォース攻撃では、ハッカー(正確にはハッカーが使うソフトウェア)が、あらゆる種類の英字・数字・記号を組み合わせてパスワードの解読を試みます。まず4〜5文字といった短い組み合わせから全パターンを検証し、すべて使い果たすと1文字追加して再度全組み合わせを試す、という処理を繰り返します。理論上、この手法はあらゆる種類のパスワード(暗号化されたものも含む)を解読可能です。ただし、考え得るすべての組み合わせを一つずつ検証するため膨大な時間がかかり、文字数が1つ増えるだけで解読時間は劇的に長くなります。

カスペルスキーのパスワードチェッカーによる目安では、パスワード「pzQm45」の解読には約3時間かかりますが、「pzQm45@」になると2日、「pzQm45@!」のようにさらに1文字増やすと12日もかかるという計算になります。つまり、長いパスワードはブルートフォース攻撃による解読が非常に困難で、ハッカーにとっても割に合わない標的になるのです。

辞書攻撃

ブルートフォース攻撃が長いパスワードに苦戦する一方で、そこを突いてくるのが辞書攻撃です。辞書攻撃では、ハッキングソフトウェアが辞書から抽出した数百万件規模の単語の組み合わせリストに加え、よく使われる記号の組み合わせ、定番フレーズ、連続した文字列など、あらゆる「ありふれた」パターンを総動員して解読を試みます。パスワードに何らかの意味がある場合、辞書攻撃はそれを突き止めてしまいます。一般的な単語に記号や数字を付け足しただけでは防げません。例えば「I$3haTe5%MaTh」のようなパスワードは、意味が通じてしまうため辞書攻撃で簡単に破られてしまうでしょう。この手法は一般的な単語と文字の組み合わせを利用するため、パスワードが長くてもブルートフォース攻撃よりはるかに短時間で解読できてしまいます。

対策:両方の攻撃に対する答えはシンプルです。「意味が通らない、十分に長いパスワードを作る」こと。16文字以上の完全にランダムな文字列で構成されたパスワードであれば、高い安全性を確保できます。ただし、そうしたパスワードの作成と管理は容易ではありません。その解決策は後述します。

注意:ハッカーはフィッシング詐欺によってパスワードを盗み出すこともあります。偽サイトから本物のパスワードを入力させて盗む手口のため、どんなに強力なパスワードでもフィッシング攻撃への対策にはなりません。

覚えやすい強力なパスワードを手動で作る方法

サードパーティ製アプリに自分の認証情報を渡したくない人のために、強力なパスワードを手動で作成し、暗記する方法をご紹介します。ポイントは、自分自身と深い関わりがあり、他人には知られていない長いフレーズからパスワードを導き出すことです。例えば「I eat vanilla ice cream at 3am, but I don't get any sleep afterwards!(午前3時にバニラアイスを食べるけど、その後ちっとも眠れない!)」のようなフレーズから、以下のような複数のパスワードを作れます。

• Ievica3,bidgasa!
• IeViCA3,bUtidgAsa!
• iEvicA3am,BiDONTgaSa!

このフレーズは自分の経験や習慣に紐づいているため非常に覚えやすく、必要なのは「どうやってパスワードを作ったか」というルールを思い出すことだけです。

パスワード生成ツールと管理ツールを活用する

上記のプロセスを自力で行うのが面倒で、第三者サービスに依存しても構わないのであれば、パスワードの生成・保存は格段に楽になります(生産性も向上します)。強力なパスワードを生成できるツールは数多くあり、さらにパスワードマネージャーを使えばそれらを安全に保存できます。以下におすすめのツールを紹介します。

パスワード生成ツール

Secure Password Generator:非常にシンプルなオンラインのパスワード生成ツール。パスワードの長さや文字種を指定するだけで、強力なパスワードを簡単に作成できます。パスワードを覚えやすくするヒント機能付きなのも嬉しいポイントです。

LastPass Password Generator:有名なパスワードマネージャー「LastPass」が提供するオンライン生成ツール。操作性がシンプルで、強力なパスワードを生成するための便利な機能が揃っています。

パスワードマネージャー

LastPass:シンプルなインターフェースと充実したセキュリティ機能が魅力の定番ツール。すべてのパスワードを安全に保管し、全デバイス間で同期できます。

Dashlane:こちらも使い勝手の良い優秀な選択肢。二要素認証などの強力なセキュリティ機能を備え、レシートやクレジットカード情報を保存できるデジタルウォレット機能も搭載しています。

重要:複数のアカウントで同じパスワードを使い回すことは絶対に避けてください。一つのアカウントが侵害されると、すべてのアカウントを失う事態につながりかねません。

まとめ

パスワードの強度において妥協は許されません。何万人ものハッカーがあなたの情報を狙い、アカウントへの侵入を試みているのです。「自分はただの一般人だから、ハッカーがわざわざ自分のアカウントを狙うことはない」と思うかもしれませんが、ハッカーは相手が誰であるかなんて気にしません。手当たり次第、あらゆる手段で侵入できるものを探しているだけです。なりすまし(アイデンティティ窃盗)やアカウント・個人情報の不正利用は、一般ユーザーこそ警戒すべき脅威なのです。また、Webサイトで二要素認証が利用できる場合は必ず有効にすることをおすすめします。ハッカー対策として最も効果的な防御手段だからです。

あなたはどのように強力なパスワードを作成・管理していますか?ぜひコメント欄で教えてください。