セキュリティガイド

強力なパスワードの作成方法

ローカル生成、パスワードマネージャー、MFA、安全な復旧習慣を用いた、強力でユニークなパスワード作成の実践ガイド。

概要

強力なパスワードとは、単に「複雑に見える」文字列ではありません。ユースケースに十分な長さがあり、ランダムに生成され、1つのアカウントに固有で、安全に保管されます。最も信頼できる日常的なワークフローはシンプルです。ユニークなランダム値を生成し、パスワードマネージャーに保存し、サービスがサポートする場合はMFAまたはパスキーを有効にします。

新しいアカウントのパスワードが必要な場合は、無料のランダムパスワード生成ツールまたは16文字パスワード生成ツールを使用してください。

パスワードを強力にする要素

最も強力な実用的なパスワードは、ランダムなプロセスによって選択され、人間が考案したものではありません。人間が作成したパスワードには、名前、日付、キーボードパターン、ブランド名、歌詞、よくある置換などが含まれることがよくあります。攻撃者はこれらのパターンを認識しており、最初に試します。

ランダム生成により状況は変わります。16、20、32文字の生成されたパスワードには、個人的なストーリーもカレンダーの日付も便利な辞書構造もありません。ただし、それがユニークで秘密に保たれて初めて有用です。

実用的な推奨事項

すべてのアカウントに新しいパスワードを生成する。
通常のアカウントには少なくとも15～16文字のランダム文字を推奨。
メール、銀行、仕事、管理者アクセスには、受け入れられる場合は20文字以上を使用する。
対象サービスが記号を受け入れる場合は記号を含める。
パスワードは信頼できるパスワードマネージャーに保存する。
MFAまたはパスキーを有効にする。
アカウント復旧設定を確認する。攻撃者は復旧経路を標的にすることが多いため。

ローカル生成で解決できることとできないこと

PwdGenはWeb Cryptoを使用してローカルで値を生成し、生成されたパスワードをアップロードしません。これにより、Webサイトが生成された値を意図的に収集することを防ぎます。ただし、侵害されたブラウザ拡張機能、安全でないクリップボードマネージャー、マルウェア、フィッシングページ、またはパスワードストレージを不適切に扱うサービスからの保護はできません。

詳細ガイダンス

このガイドは、ゼロから強力なパスワードを作成することに焦点を当てています。弱いパスワードや使い回しのパスワードを置き換えようとしている人向けに書かれているため、実際の目標は劇的なセキュリティ主張を作ることではありません。目標は、日常的な使用（サインインフォーム、パスワードマネージャー、モバイルキーボード、アカウント復旧、共有デバイス、奇妙なバリデーションルールを持つサービス）に耐えられるパスワード習慣を選ぶことです。安全な推奨事項は、実際の人が一貫して従える場合にのみ有用です。

最も安全な出発点は、ランダム性とユニーク性です。ランダム性とは、値が暗号学的に適切なランダムソースによって大きな空間から選択され、誕生日、ペットの名前、キーボードパターン、お気に入りの引用から考案されたものではないことを意味します。ユニーク性とは、同じパスワードが他のどこでも使用されていないことを意味します。長いが使い回しのパスワードは、無関係な侵害の後すぐに失敗する可能性がありますが、ユニークなランダムパスワードは、使用された単一のアカウントに損害を限定します。

このトピックでは、実用的なプリセットは20文字で、大文字、小文字、数字、記号（受け入れられる場合）です。このプリセットは20文字パスワード生成ツールで適用し、最終的な値を信頼できるパスワードマネージャーに保存できます。PwdGenはブラウザ内でWeb Cryptoを使用してローカルに値を生成します。生成されたパスワードはPwdGenサーバーに送信されません。このローカル設計によりサーバー側の露出は減少しますが、すべての脅威から保護するわけではありません。悪意のあるブラウザ拡張機能、侵害されたデバイス、フィッシングページ、安全でないクリップボード処理は、生成後に秘密を露出させる可能性があります。

避けるべき最も一般的な問題は、個人名、誕生日、キーボードウォーク、使い回しの語尾、および「a」を「@」に置き換えるような予測可能な置換です。これらの問題が重要なのは、人間の習慣が攻撃者に近道を与える場合、攻撃者はすべての可能なパスワードをブルートフォースする必要がほとんどないからです。クレデンシャルスタッフィング、フィッシング、漏洩したパスワードリスト、アカウント復旧の悪用は、純粋な数学的検索よりも現実的であることがよくあります。そのため、最善のアドバイスは、パスワードの品質と、MFA、パスキー、復旧コードの保存、復旧メールや電話設定の定期的な確認などのアカウントレベルの制御を組み合わせることです。

推奨事項を適用する際は、次のチェックリストを使用してください。

すべてのアカウントに異なる値を使用する。
個人のパターンよりもランダム生成を優先する。
結果をパスワードマネージャーに保存する。
利用可能な場合はMFAまたはパスキーを有効にする。

Webサイトが理想的な設定を拒否する場合、手動でパスワードを弱いパターンに強制しないでください。一度に1つの変数を調整します。記号が拒否された場合は、大文字、小文字、数字を有効にしたまま長さを増やします。最大長が短い場合は、受け入れられる最大の長さを使用し、値がユニークであることを確認します。パスワードを声に出して読んだり、印刷したり、テレビやルーターの画面で入力したりする必要がある場合は、紛らわしい文字を除外し、アルファベットの小ささを補うために長さを増やすことを検討します。

最後に、パスワードアドバイスの限界を覚えておいてください。強力なパスワードは防御の1つの層であり、保証ではありません。フィッシングページを安全にしたり、マルウェアを修正したり、資格情報を不適切に保存するサービスを補ったりすることはできません。有用な習慣は退屈ですが耐久性があります。ユニークな値を生成し、安全に保存し、復旧経路を保護し、露出が疑われる場合はすぐに交換します。

よくある質問

最もシンプルな強力なパスワードのルールは？

すべてのアカウントに長く、ランダムで、ユニークなパスワードを使用し、信頼できるパスワードマネージャーに保存します。

複雑な短いパスワードは、長いランダムなパスワードより優れていますか？

通常はいいえ。長さと予測不可能性は、文字を記号に置き換えるようなよくある置換よりも重要です。

強力なパスワードと一緒にMFAを使用すべきですか？

はい。MFAまたはパスキーは、パスワードがフィッシングされたり、他の場所で使い回されたり、サービスの侵害で露出したりした場合に保護を追加します。