パスワード強度チェッカー

仕組み

パスワード強度チェッカーには明らかな問題があります。使うにはウェブサイトにパスワードを入力しなければなりません。多くはサーバー側でチェックするため、パスワードが見知らぬ相手に送信されてしまいます。このツールはページから出ないので、チェックという行為が意味を持つ唯一の方法です。

推定値の意味

使われている文字の種類と長さから、ビット単位のエントロピーの値を求めます。それを、1秒あたり100億回の推測を前提とした解読時間に換算します。これは、最新のグラフィックスカードを持つ攻撃者が、漏えいしたパスワードのデータベースをオフラインで攻撃する場合の現実的な速度です。稼働中のログインに対するオンライン攻撃はずっと遅いため、これは悲観的な見積もりであり、だからこそ役立ちます。

複雑さより長さ

1文字追加するほうが、文字を記号に置き換えるよりも、必要な作業量が大きく増えます。ありふれた単語を並べた長いパスフレーズは、短くて発音できない文字列より、強度と覚えやすさの両面で優れています。最近のガイドラインがそれを推奨するのはこのためです。

あらゆる強度メーターの限界

これが測るのは形だけです。そのパスワードが流出リストに載っていることも、飼い犬の名前であることも、世界で最もよく使われるパスワードであることも分かりません。そのいずれであっても、メーターの表示にかかわらず一瞬で破られます。良い評価は、十分条件ではなく必要条件と考えてください。

本当に良い答え

サイトごとに長いランダムなパスワードを生成するパスワードマネージャーを使えば、問題そのものがなくなります。覚える必要も、使い回す必要もないからです。