パスワードは「長さ」で決まる — 複雑さより効く話

「記号と数字を混ぜて、定期的に変えましょう」。長いあいだそう言われてきましたよね。ところがこれ、いまの指針ではむしろ勧められていません。

米国の指針（NIST）も、日本の政府や情報処理推進機構の案内も、この十年で方針を変えました。定期的な変更は求めない。記号や大文字の混在も強制しない。 代わりに求められているのは、もっと単純なことです。

強さを決めているのは、ほとんど長さ

総当たりで破る側から見ると、手間は文字の種類の「何乗」で増えます。指数の側にあるのが長さで、底の側にあるのが文字の種類です。指数を1増やすほうが、底を少し増やすよりずっと効く。 これが「長さで決まる」の中身です。

記号を混ぜた8文字より、素直な単語を並べた長いものの方が、桁違いに手間がかかる。

現実に起きている被害でいちばん多いのは、破られたのではなくどこかから流出したものが、そのまま別のサービスで試されるという形です。これを防げるのは、強さではなく「同じものを使っていない」ことだけです。

つまり、全部違うものにするのが最優先で、そのためにはもう人間の記憶では無理があります。パスワード管理ソフトを使うか、ブラウザの保存機能を使うか。どちらでも構いませんが、使わない選択は現実的ではなくなってきています。

理由は単純で、人がやることが分かっているからです。3か月ごとに変えろと言われた人は、`Sakura2026-1`、`Sakura2026-2` のように末尾を変えます。これは攻撃する側から見れば、ほとんど変わっていないのと同じです。

変えるべきなのは、流出した心当たりがあるときです。それ以外のときに強制的に変えさせると、覚えやすい弱いものへ寄っていくだけ、というのが分かってきたので、指針から外れました。

使い回さない。 これが一番効きます。せめてメール・銀行・SNSの3つだけでも別のものに。
長くする。 15文字以上あると、総当たりはまず現実的でなくなります。覚える必要があるものは、意味のない単語をいくつかつなげると長くて覚えやすくなります。
二段階認証を入れる。 パスワードが漏れても、これがあれば止まります。優先順位としてはパスワードを凝るより上です。
大事なところだけ手厚く。 全部を完璧にしようとすると続きません。メールアカウントは特別扱いにしてください——そこを取られると他のパスワード再設定が全部通ってしまいます。

作るときは、このサイトのパスワード生成が使えます。ランダムな文字列と、単語をつなぐパスフレーズのどちらでも作れて、強さがビット数で出るので「これで足りているのか」が数字で分かります。ブラウザの中だけで作っていて、生成したものはどこにも送っていません。

長いあいだ言われてきたことを覆すのは気持ちが悪いかもしれませんが、指針が変わったのは、実際に何が破られているかが分かってきたからです。記号を足す努力を、長さと使い回しの解消に回したほうが、同じ手間でずっと効きます。

この記事で紹介したステム分離は、ブラウザで無料で試せます（登録不要・音源は端末から出ません）。