パスワードジェネレーター

パスワードの強度は長さとエントロピー（ランダム性）の2つの要素で決まります。エントロピーはビットで測定され — 各ビットは可能な組み合わせの数を2倍にします。大文字、小文字、数字、記号を使用した12文字のパスワードは約78ビットのエントロピーを持ち、これは約10^23の組み合わせに相当します。現代のGPUは1秒間に数十億のパスワードをテストできるため、78ビットのパスワードを破るには数千年かかります。ただし、多くのウェブサイトは十分な長さを要求せずに複雑性ルール（特殊文字の要求）を強制し、ユーザーが短いが複雑なパスワードを作成するように導き、実際には長くシンプルなパスワードより弱くなっています。

エントロピーの公式は：ビット = log2(文字セットサイズ) * 長さ。例えば、94個の印刷可能ASCII文字すべてを使用する16文字のパスワードは log2(94) * 16 ≈ 105ビットのエントロピーを持ちます。これは現在または予見可能な技術では解読不可能と見なされます。当社のジェネレーターはWeb Crypto APIのcrypto.getRandomValues()関数を使用し、オペレーティングシステムのセキュアなランダムソースからエントロピーを取り込みます — これはTLS鍵生成やディスク暗号化に使用されるのと同じソースです。これはMath.random()とは根本的に異なり、Math.random()はシードが知られていれば予測可能な疑似乱数生成器（PRNG）を使用します。

長さは複雑性よりもはるかに重要です。パスワードに1文字追加すると、文字を記号に置き換えるよりも多くのエントロピーが追加されます。小文字のみを使用する20文字のパスワード（log2(26) * 20 ≈ 94ビット）は、すべての文字タイプを使用する12文字のパスワード（log2(94) * 12 ≈ 79ビット）よりも強力です。これがNISTガイドライン（SP 800-63B）が複雑なパスワードよりも長いパスワードを推奨する理由であり、多くのサービスが複雑性要件を廃止し、最小文字数を採用しています。

すべてのアカウントに固有のパスワードを使用してください。パスワードの再利用は最大のセキュリティリスクです — あるサービスが侵害されると、攻撃者は他のサービスでも同じパスワードを試します（クレデンシャルスタッフィング）。パスワードマネージャー（Bitwarden、1Password、KeePass）は、すべてのパスワードを暗号化された金庫に保存することでこれを実現可能にします。強力なマスターパスワードを1つだけ覚える必要があります。ほとんどのパスワードマネージャーには、任意の長さと複雑さのパスワードを生成できるジェネレーターが組み込まれています。

パスワードマネージャーのマスターパスワードには、パスフレーズの使用を検討してください — 'correct-horse-battery-staple'のようなランダムな単語のシーケンスです。2000語のリストからの4語のパスフレーズは約44ビットのエントロピーを持ち、マスターパスワードとしては十分であり、ランダムな文字列よりも覚えやすく入力しやすいです。その他のすべてのアカウントでは、サービスが許可する最長のランダムパスワードを使用し、パスワードマネージャーに記憶させてください。

可能な限り二要素認証（2FA）を有効にしてください。最も強力なパスワードでも、フィッシング、キーロガー、データ侵害によって侵害される可能性があります。2FAは第二の防御層を追加します — 通常は認証アプリ（Google Authenticator、Authy）またはハードウェアキー（YubiKey）からのコードです。SMSベースの2FAはないよりはましですが、SIMスワップ攻撃に対して脆弱です。最大限のセキュリティのためにTOTP（時間ベースのワンタイムパスワード）またはハードウェアキーを優先してください。