パスフレーズとは何か
パスフレーズ生成の材料は、関係のない複数の単語です。パスフレーズは、複数の単語から作るパスワードです。サービスが許可すれば、空白やハイフンなどの区切り文字も使えます。`P@ss2026` のような短い文字列ではなく、関係のない単語を長く並べることが目的です。入力しやすい形式ですが、思い付いた物語から単語を選ぶと予測されやすくなります。
長さが増えるほど、攻撃者が試す組み合わせも増えます。ランダムな選択なら、名前、日付、趣味、有名な言葉から候補を絞られません。ペット、チーム、都市、誕生日、引用文を含めないでください。単語同士がなぜつながるか説明できる場合は、偶然ではなく自分の好みで選んでいる可能性があります。
パスフレーズは特定の製品名ではありません。単語リスト、サイコロ、ブラウザーの暗号学的な乱数など、いくつかの方法で作れます。単語が既知のリストから独立して選ばれ、生成した文字列がサーバーへ送られないことが重要です。認証情報である以上、アカウントごとに分け、漏えいの疑いがあれば変更します。
アカウントを移行するときは、まずメールや復旧用アカウントなど連鎖の中心になる認証情報から更新します。古いパスワードを新しいパスフレーズの材料にせず、サービスの公式画面で変更を完了し、すべての端末から古いセッションを終了してください。家族やチームで共有する必要がある場合は、個人のログインを渡すのではなく、権限管理と共有保管庫を使います。こうした手順を含めて初めて、単語を長くするだけではない実際の防御になります。
パスフレーズと通常のパスワード
どちらの形式も安全にできます。サービスの規則、入力できる最大長、保管場所を見て選んでください。特徴を比べると、目的に合わない形式を避けられます。
| 項目 | パスフレーズ | ランダムなパスワード |
|---|---|---|
| 読みやすさ | 区切った複数の単語で読める。 | 英字、数字、記号の組み合わせ。 |
| 長さ | 単語を追加して伸ばせる。 | フォームの文字数制限に左右される。 |
| 記憶 | 単語が独立していれば入力しやすい。 | 通常はマネージャーから貼り付ける。 |
| よくある危険 | 有名な文や関連する単語を使う。 | 末尾に 123 を足すだけの変更。 |
| 向く場面 | マスターキー、Wi-Fi、空白を許可するサービス。 | 短い入力欄や空白を拒否するフォーム。 |
Diceware式のランダム選択
Diceware は、サイコロの結果を単語リストの項目に対応させる選択方法です。デジタルツールでは、意味に引っ張られずに選ぶため、暗号学的に安全な乱数源を使う必要があります。
目的を決める
通常のアカウント、Wi-Fi、マスターキー、暗号化のどれに使うか決めます。目的に合わせて最低限の長さとサービスの規則を確認します。
単語を一つずつ選ぶ
独立した抽選ごとに単語を一つ選びます。ローカルの生成器なら `crypto.getRandomValues` を使えます。信頼できる表と手順があれば物理的なサイコロも使えます。
意味で直さない
サービスが認める空白やハイフンで単語をつなぎます。面白くないからと単語を交換すると、ランダム性が下がります。
一度だけコピーする
公式の入力欄で確認し、一度コピーして保管庫へ保存します。履歴、チャット、共有表、スクリーンショットに残さないでください。
何語を使えばよいか
全員に同じ正解はありません。単語を増やすと推測への余裕が増えますが、サービスが空白や長い入力を拒否する場合もあります。表を目安にし、最終的にはサービスの仕様を確認してください。
| 単語数 | 安全性の目安 | 利用例 |
|---|---|---|
| 4 | 大きなリストから選んだ場合、影響の小さいアカウントの基礎になる。 | 長い入力を許可する予備アカウント。 |
| 5〜6 | 多くのアカウントと、保護したマスターキーに実用的な余裕。 | メール、保管庫、家庭の Wi-Fi。 |
| 7〜8 | 価値の高いデータや復旧キーを守るための追加の長さ。 | ファイル暗号化や管理者アクセス。 |
| 9以上 | 不要に長く入力しにくい場合がある。制限とマネージャーを確認する。 | 技術的な指示がある特別な用途。 |
この表は解読までの時間を保証しません。機器、試行回数の制限、漏えい、サービスの保存方式で状況は変わります。長さとランダム性は重要な手掛かりですが、合格証ではありません。
パスフレーズ作成チェックリスト
結果を採用する前に、次の項目を確認します。単語の並びを、後から見直せる安全上の判断に変えるためのチェックです。
本当の抽選
自分の記憶や想像ではなく、独立したランダム選択で単語が決まっていますか。
規則に合う長さ
サービスは長さ、空白、区切り文字を受け付けますか。
個人情報なし
名前、場所、日付、趣味、歌詞、検索できる連想が入っていませんか。
使い回しなし
このサービス専用で、別のパスワードを少し変えただけではありませんか。
追加の防御
2FA、パスキー、ログイン通知などを利用できますか。
安全に保存して使う方法
強いパスフレーズでも、画面に残したり使い回したりすれば価値を失います。日常の入力はパスワードマネージャーに任せ、マスターキーと端末を守ってください。
- 保管庫を使う: ロックと保護された同期を備えたマネージャーを選びます。暗号化されていないメモ、写真、共有ファイルは避けます。
- 正しいサイトに入力する: 自分で入力したドメインか信頼できるブックマークを開きます。フィッシングは強いパスフレーズも盗みます。
- 追加認証を有効にする: 認証アプリ、物理キー、パスキーは、パスワードが知られた場合の被害を小さくします。
- 通知を見直す: 漏えいや不審なログインの通知が来たら、セッションを終了して認証情報を変更し、使い回しも探します。
生成器だけでは保証できないこと
ブラウザー内で単語を作れば生成時の露出を減らせますが、アカウントに関するすべての危険を解決するわけではありません。
遠隔サービスがパスワードをどう保存し、試行を制限し、復旧を守るかをツールは証明できません。
画面、履歴、クリップボードを誰かに見られた場合、秘密ではありません。使い終わったら入力欄とクリップボードを消します。
単語リストは、更新、フィッシング対策、マルウェア対策、セッション確認、端末の管理の代わりにはなりません。
方法を理解するための資料
Diceware とブラウザーの乱数について確認できる資料です。公開されたパスワードをコピーするための手順ではありません。
- Diceware.com単語リスト、単語数、サイコロで各項目を選ぶ考え方を説明しています。
- GitHub の dicewarecrypto.getRandomValues を使い、パスフレーズをサーバーへ送らないローカル実装の例です。
- MDN の Web Crypto APIブラウザーの JavaScript が使う暗号学的な乱数源の資料です。
パスフレーズについての質問
記号入りのパスワードより安全ですか？
形式だけでは決まりません。長さと予測できない選択が重要です。長いランダムパスワードも安全にできますが、一般的な文に予測可能な記号を足しただけなら弱いままです。
何個の単語を入れるべきですか？
まずランダムな 5〜6 語を目安にし、サービスの制限に合わせます。マスターキーや暗号化では語数を増やし、入力はマネージャーに任せると便利です。
自分だけが覚えやすい文を作ってもよいですか？
避けることをすすめます。個人的な物語、引用、題名、冗談は推測用の辞書に入ることがあります。偶然に選んだ独立した単語を使ってください。
すべてのアカウントで空白を使えますか？
使えません。空白を削除したり短い上限を設けたりするフォームがあります。規則を確認し、拒否されたら許可された区切り文字か通常の生成器を使います。
このサイトは作った文字列を保存しますか？
ここではローカル生成をすすめていますが、利用するサービスの方針を確認してください。公開サイトを保管庫と考えたり、実際の認証情報を試しに入力したりしないでください。
パスフレーズがあれば 2FA は不要ですか？
不要にはなりません。2FA、パスキー、ログイン通知はフィッシング、使い回し、セッション盗難への追加の壁です。対応していれば有効にします。
この記事の例を使えますか？
使えません。公開された例は誰でも知っています。新しい組み合わせを生成して保管庫に保存し、重要なアカウントごとに別のものを使います。