パスフレーズとは｜覚えられて破られにくいパスワードの作り方

パスフレーズは「長さ」で強くする方法

パスフレーズは、複数の単語をつなげて長い秘密を作る方法です。記号を混ぜて短くするのではなく、覚えられる単語を無作為に並べて桁数を稼ぎます。総当たりにかかる時間は桁数が増えるごとに掛け算で伸びるため、長さのほうが効率よく効きます。

注目したいのは、単語6語が英数字記号12文字とほぼ同じ強さになっている点です。片方は覚えられ、もう片方は覚えられません。覚えられるかどうかは実務上とても重要で、覚えられないパスワードは付箋に書かれるか、他のサイトで使い回されます。

パスフレーズの作り方

1. 1

   単語を無作為に4〜6語選ぶ

   辞書やアプリの単語リストから、サイコロや乱数で引きます。自分で「好きな単語を6つ」選ぶと、趣味や仕事から偏って推測されやすくなります。

2. 2

   意味がつながらないことを確かめる

   「あおい・そら・きれい」のように文になってしまったら引き直します。関係のない単語が並んでいるほうが強く、そして意外なことに覚えやすくなります。

3. 3

   つなぎ方を決める

   ハイフンやピリオドでつなぐか、単語の頭を大文字にします。区切りを入れると入力時に間違えにくくなります。ここでの工夫は強さには大きく寄与しないので、入力しやすさを優先します。

4. 4

   サイトの制約に合わせる

   「記号必須」「16文字まで」といった制約があるサイトでは、パスフレーズが入りません。その場合は、次の章のとおりランダム文字列に切り替えます。

5. 5

   数日は書き出して手元に置く

   覚えるまでの数日だけ、紙に書いて人目につかない場所に置きます。ロックアウトされて再設定するほうが、短期間のメモよりリスクが大きい場面は多くあります。

日本語で作る場合は、ローマ字にした単語を並べるか、日本語のまま入力できるサービスかを先に確認してください。日本語入力が通らない画面（起動時のディスク暗号化やBIOSなど）があるため、端末のロック解除に使うものはローマ字にしておくと安全です。

パスフレーズが向く場面・向かない場面

すべてのパスワードをパスフレーズにする必要はありません。自分の頭で覚える必要があるものだけをパスフレーズにし、残りは管理アプリに任せるのが現実的です。

共用アカウントは、覚えられるかどうかではなく渡し方が問題になります。メールやチャットに貼らずに渡す方法はパスワードの安全な共有方法にまとめてあります。

個別のサイトに使うランダム文字列は、パスワード生成ツールで作れます。長さは4〜64文字の範囲で選べ、大文字・小文字・数字・記号を個別にオン／オフできるので、「記号が使えない」「12文字まで」といったサイト側の制約に合わせられます。候補をまとめて出して入力しやすいものを選び、そのまま管理アプリに保存してください。生成した文字列を覚えようとしないことが前提です。

やりがちな失敗

• ことわざ・歌詞・映画のセリフを使う。有名な文はそのまま辞書に載っているため、長くても一瞬で破られます。
• 文字を記号に置き換える（aを@、oを0など）。この変換は攻撃ツールに組み込み済みで、強さはほとんど増えません。
• 末尾に数字と記号を足して条件を満たす。「Password1!」型は最初に試される並びです。
• 同じパスフレーズを複数のサービスで使う。1か所漏れると、同じ組み合わせが他で試されます。
• 単語数を減らして記号で補う。4語未満まで短くすると、長さで稼いだ利点が消えます。

使い回しの危険は、自分のパスワードの強さとは無関係に成立します。どれだけ長くても、漏れたサービス側が平文で保管していれば意味がありません。自分のアドレスが流出リストに載っていないかは漏洩の確認方法で調べられます。

定期変更はもう推奨されていない

「90日ごとに変更」という運用は、長く一般的でした。現在の主要なガイドラインでは、定期的な変更は推奨されていません。強制的に変えさせると、利用者は覚えやすい規則で少しずつ変える（末尾の数字を1ずつ増やすなど）ようになり、かえって推測しやすくなるためです。

• 漏洩の兆候があったときに変える。これが最も効果のあるタイミングです。
• サービスから流出の通知が来たら、そのサービスと、同じものを使い回していた先をすべて変えます。
• 端末を紛失した、共有した相手との関係が変わったといった、人の側の変化があったときに変えます。
• 期限で変えるより、長いものを1回作って使い続け、二要素認証を足すほうが安全になります。

作り方をそろえたあとは、保管の問題が残ります。覚えるのはマスターのパスフレーズ1つだけにして、残りは管理アプリに入れる形が最も破綻しにくい構成です。導入の手順はパスワード管理アプリの使い方にまとめています。

よくある質問

パスフレーズとパスワードは何が違いますか？

仕組みとしては同じもので、作り方の方針が違います。パスワードは文字種を混ぜて短く作ることが多いのに対し、パスフレーズは無作為に選んだ単語を複数つなげて長さで強くします。総当たりにかかる時間は桁数が増えるごとに掛け算で伸びるため、長さのほうが効率よく強さに効きます。無作為な単語6語は、英数字記号12文字とほぼ同じ強さになり、しかもこちらは覚えられます。

パスフレーズは何単語必要ですか？

無作為に選んだ単語で4語が下限、6語あれば当面は十分です。4語で英数字記号8文字と同程度、6語で12文字と同程度の強さになります。ただしこれは単語を辞書や乱数から無作為に引いた場合の話です。自分で思いついた単語を並べると意味のあるつながりに寄り、想定より弱くなります。単語数を減らして記号で補う方法は、長さで稼いだ利点を消してしまうので避けてください。

ことわざや好きな歌詞をパスフレーズにしてもいいですか？

避けてください。長さはあっても、有名な文やフレーズは攻撃側の辞書にそのまま載っています。歌詞、映画のセリフ、書籍の一節、ことわざはいずれも収録されている前提で考えるべきです。文字を記号に置き換える工夫（aを@、oを0にするなど）も、変換規則ごと攻撃ツールに組み込まれているため、ほとんど強さを足しません。意味のつながらない単語を無作為に並べるほうが安全です。

パスワードは定期的に変えたほうがいいですか？

期限を決めた定期変更は、現在の主要なガイドラインでは推奨されていません。強制的に変えさせると、末尾の数字を1ずつ増やすような予測しやすい変え方になり、かえって弱くなるためです。変えるべきなのは、漏洩の通知を受けたとき、流出リストに自分のアドレスが載っていたとき、端末を紛失したときなど、具体的な兆候があったときです。それ以外の期間は、長いものを1つ作って使い続け、二要素認証を足すほうが効果があります。