✓この記事でわかること
- 1記号を加えたよくある単語でも、推測されるパターンは残る
- 2NISTの単要素15文字・多要素8文字と、運営側の拒否リスト等の要件を区別する
- 3記号制限や文字数上限があるサービスでも、使える条件の中で長さと使い回し回避を保つ
登録画面の「大文字・数字・記号必須」は、そのサービスの入力条件です。NISTの現行指針を全サイト共通の登録ルールとはせず、利用先の条件と、推測されにくい値の作り方を分けて確認します。
1. NISTの要件は認証方式と運営側の処理が前提
NIST SP 800-63B-4の3.1.1.2では、パスワード単独の認証は最低15文字、多要素認証の一部としてだけ使う場合は最低8文字としています。文字種の組合せや理由のない定期変更は強制せず、一般的・予想される・漏えい済みの値を運営側で拒否する要件です。最大長は少なくとも64文字を許すことを推奨しています。
「15文字なら安全」という判定ではありません。長い有名なフレーズや、サービスごとに同じ値を使う場合は別の問題が残ります。利用者が長さを確認しても、保存側のハッシュ方式や試行制限までは確認できません。
2. 記号を足す変更と、新しく生成する変更の違い
説明用の「P@ssw0rd1」は、見た目に大文字・数字・記号がそろっていても、既知の単語とよくある置換です。末尾へさらに「!」を足すだけでは、元のパターンが残ります。使い回していた値の一部を変える場合も、別サービスの漏えいから元の形を推測される可能性があります。
登録先の条件を指定して、新しい値をランダムに生成します。覚える必要がある場合は、複数の単語をランダムに選ぶパスフレーズも候補です。記事に載っている例をコピーして実用しないでください。長さと文字種が同じでも、生成方法や単語の選び方で推測されやすさは変わります。
3. 入力制限が異なる3つの架空サービスで考える
英数字のみ・最大32文字
許可された英数字で長い値を生成する。記号を必須にした設定のまま使わない。
記号必須・最大64文字
許可された記号を含む新しい値を生成する。既存単語へ記号を足すだけの変更にしない。
最大12文字
この上限では単要素向け15文字の条件を満たせない。許可範囲で固有の値を作り、追加認証やパスキーの選択肢を確認する。
ここでの32・64・12文字は説明用のサービス条件で、実サービスの推奨値ではありません。PIN、UUID、16進文字列などはそれぞれ用途が異なるため、選べるモードをすべてログイン用パスワードの代わりとはしません。
4. 生成・診断・保管の役割を分ける
生成ツールは条件に合う新しい値を作り、強度診断は入力文字列の長さや形を比較します。本サイトの診断では、別サービスで使っているか、実際の漏えいリストに含まれているか、アカウントが保護されているかは判定しません。数値だけで登録や変更の必要性を決めないでください。
サービスごとに別の値をパスワード管理アプリへ保存し、利用先の追加認証を設定します。漏えいや共有ミスが判明した場合は、その利用先の手順で変更します。入力要件を満たすことと、漏えい後の対処は分けて管理します。