パスワード生成

パスワード生成ツールとは

パスワード生成ツールは、推測されにくいランダムな文字列を作成するためのセキュリティ補助ツールです。自分で考えたパスワードは、名前、誕生日、単語、キーボード配列などの規則が入りやすく、攻撃者に推測される可能性があります。Zibbloxでは文字数と使用する文字種を選び、ブラウザのWeb Crypto機能を利用してランダムなパスワードを生成します。

英大文字、英小文字、数字、記号を組み合わせられるため、サービスのパスワード要件に合わせて調整できます。重要なのは、複雑さだけではなく十分な長さと使い回さないことです。

安全なパスワードの基本

一般的には長いパスワードほど総当たり攻撃に強くなります。短いパスワードへ記号を一つ追加するだけより、十分な長さを確保した上で複数の文字種を利用する方が選択肢を増やせます。Zibbloxでは16文字以上を一つの目安としておすすめしますが、利用するサービスがより長い文字数を許可している場合は、さらに長くしても構いません。

サービスごとに異なるパスワードを使うことも重要です。一つのサービスからパスワードが漏えいしたとき、同じパスワードを他サイトでも使っていると「パスワードリスト攻撃」で別のアカウントまで侵害される可能性があります。

使い方

まず必要なパスワード長を設定します。次に大文字、小文字、数字、記号など、使用したい文字種を選びます。生成ボタンを押すとランダムなパスワードが表示されます。対象サービスに禁止文字や必須文字の条件がある場合は、その要件に合わせて設定してください。

生成結果が表示されたら、信頼できるパスワードマネージャーへ保存してから利用することをおすすめします。メモ帳、メールの下書き、チャットなど安全性が不明な場所へ平文のまま保存すると、端末やアカウントが侵害されたときに流出する可能性があります。

パスワードマネージャーの利用

すべてのサービスで長く異なるパスワードを覚えるのは現実的ではありません。そこで、暗号化されたパスワードマネージャーを利用すると管理しやすくなります。パスワードマネージャー自体のマスターパスワードは特に重要なので、十分に長く、他では使わないものを設定してください。

ブラウザやOSに組み込まれたパスワード管理機能を使う場合も、端末の画面ロック、アカウントの二段階認証、復旧手段を設定しておくと安全性が高まります。

二要素認証・パスキーとの組み合わせ

強力なパスワードだけで完全な安全が保証されるわけではありません。対応サービスでは二要素認証を有効にし、可能であれば認証アプリやセキュリティキーを利用してください。SMS認証も何もない状態より有効ですが、より強い方法を選べる場合は認証アプリやハードウェアキーが選択肢になります。

近年はパスキーに対応するサービスも増えています。パスキーはフィッシング耐性などの利点がありますが、すべてのサービスで利用できるわけではないため、従来のパスワード管理も引き続き重要です。

ブラウザ内生成とプライバシー

Zibbloxのパスワード生成はブラウザ内で実行され、生成した文字列を生成処理のためにサーバーへ送信しません。Web Crypto APIの暗号学的乱数を利用することで、一般的な疑似乱数より安全なランダム値を得る設計です。生成したパスワードはページを閉じる前に安全な管理場所へ保存してください。

避けたいパスワード

氏名、電話番号、誕生日、会社名、ペット名、辞書にある単語だけ、連続数字、同じ文字の繰り返しなどは避ける方が安全です。「Password123!」のように一見条件を満たしていても非常に一般的なパターンは攻撃者の辞書に含まれている可能性があります。また、以前利用していたパスワードへ数字だけ追加する方法も推奨できません。

重要アカウントではさらに慎重に

メール、銀行、クラウドストレージ、SNS管理、ドメイン管理など、侵害されたときの影響が大きいアカウントでは特に長く固有のパスワードを使用し、二要素認証を有効にしてください。Zibbloxはランダム文字列を作る補助ツールであり、アカウント全体のセキュリティを保証するものではありません。

パスフレーズという選択肢

ランダムな記号文字列だけでなく、複数の無関係な単語を長く組み合わせるパスフレーズも選択肢です。十分に長く、予測しにくい単語の組み合わせなら、覚えやすさと強度のバランスを取りやすい場合があります。ただし有名な歌詞、ことわざ、住所、家族名など推測しやすい文章は避ける必要があります。

サービスが記号や文字数に厳しい制限を設けている場合は、その要件に合わせてランダムパスワードを使い、制限が少ない場合は長さを優先する考え方もあります。

漏えいが疑われたとき

パスワードが漏えいした可能性がある場合は、同じパスワードを使っているすべてのサービスを速やかに変更してください。変更後はログイン履歴、登録メールアドレス、二要素認証設定、復旧用情報なども確認します。パスワード変更だけで終わらず、知らないセッションをログアウトさせる機能があれば利用すると安全です。

生成後の取り扱いが最も重要

どれだけ強いパスワードを生成しても、スクリーンショットを共有したり、平文のメモをクラウドへ公開したりすれば安全性は下がります。生成後は必要なサービスへ設定し、パスワードマネージャーへ保存し、画面に残った文字列を不用意に共有しないでください。会社や学校のアカウントでは組織指定のパスワード管理方針がある場合があります。個人判断で外部ツールへ保存する前にルールを確認しましょう。