安全なパスワードの長さと強度とは？【検証】

世界中でオンライン化やテレワークが進み、PCやスマホで様々なWebサービスやアプリを利用するのが当たり前になった今、色々な場面でパスワードを設定する必要に迫られる。

今現在、自分が設定しようとしているパスワードは強度的にどうなのか？
果たしてパスワードはどれくらいの長さにすべきなのか？

これを複数のパスワード強度チェッカーサイトを利用して検証してみる。

検証するパスワードの種類

使用する文字

1. 半角数字 [0～9]
2. 半角英字 [a～z、A～Z]
3. 半角英数字 [0～9、a～z、A～Z]
4. 半角英数字記号 [0～9、a～z、A～Z、記号]

上記の4パターンでテストを行う。

文字数（桁）

4桁、6桁、8桁、12桁、16桁、20桁、24桁、30桁、40桁

上記の「4桁から40桁まで」のテストを行う。
※4桁未満はパスワードとしてあり得ないので検証から除外してあります。

パスワード生成方法

LastPassのパスワードジェネレータを利用して、上記の各パターンのパスワードを生成します。

■パスワード ジェネレータ | LastPass
URL：https://www.lastpass.com/ja/password-generator

テストするパスワード強度チェッカーサイト

以下の4つのパスワード強度チェッカーサイトでテストを行います。

Password Check | Kaspersky

URL：https://password.kaspersky.com/jp/

My1Login Password Strength Test

URL：https://www.my1login.com/resources/password-strength-test/

Thycotic Password Strength Checker

URL：https://thycotic.com/resources/password-strength-checker/

How Secure Is My Password?

URL：https://howsecureismypassword.net/

パスワード強度の検証結果

4つのパスワード強度チェッカーサイトを利用し、使用する文字列のパターン別で任意の桁数のパスワード強度チェックを行いました。

以下がブルートフォースアタック（総当たり攻撃）で突破（解読）されるまでの時間の一覧表です。

【※単位】
「京」は兆の1万倍、【垓】は京の1万倍、【𥝱】は垓の1万倍です。

半角数字 [0～9] を利用したパスワード

半角英字 [a～z、A～Z] を利用したパスワード

※30桁、40桁は省略してあります。

半角英数字 [0～9、a～z、A～Z] を利用したパスワード

※30桁、40桁は省略してあります。

半角英数字記号 [0～9、a～z、A～Z、記号] を利用したパスワード

※24桁、30桁、40桁は省略してあります。

まとめ

コンピューターの性能は日々上昇し、安全なパスワードの桁数も時代とともに増えていきます。

パスワードを設定するなら、パスワードジェネレータ等を利用してランダムな文字列を作成。そして文字数は以下を目安に設定しましょう。

※ちなみに私は、パスワード生成の際は必ずパスワードジェネレータ等を利用し、半角英数字記号 [0～9]、[a～z]、[A～Z]、[記号] を必ず全て含むランダム文字列30桁以上のパスワードを常に利用しています。

これは大原則ですが、強固なパスワードを生成してもテキストファイルなどにコピペして平文で保存していたら全く意味がありません。パスワードの保存は必ず「KeePass」等のパスワード管理ソフトを利用し、そして更にセキュリティを高めるために、二段階認証（2FA）等が使える場合は必ず利用しましょう。

以上で解決です。