パスフレーズの選択方法

パスフレーズを強力にする唯一のことは、それを選択しなかったことだけです

これがアイデアの全体であり、パスワードに関するアドバイスのほとんどすべてがそれを曖昧にしているため、率直に述べる価値があります。パスフレーズは、プロセスが生成した可能性が等しいパスフレーズの数に比例して強力になります。マシンが 7,776 のリストから 6 つの単語を均等に選択すると、その数は 7,776 の 6 乗になります。人はランダムに感じる単語を 6 つ選んだ場合、その数は非常に小さくなります。なぜなら、人は均一なサンプラーではないし、これまでもそうなったことがないからです。

誰かにランダムな動物を尋ねると、ツチブタよりも犬、猫、ライオンの声がはるかに高いでしょう。ランダムな 4 桁の数字を尋ねると、1234 と 19 で始まる年が大幅に過剰に表示されます。クラック ソフトウェアは、まさにこれらの規則性に基づいて構築されています。つまり、アルファベット順に推測するのではなく、可能性の高い順に推測し、人間の選択がそのキューの先頭に位置します。

したがって、このページの価値は言葉ではありません。それは、あなたも他の誰も、どちらが思いついたのかに影響を与えていないということです。

6 単語がデフォルトである理由

EFF の長いリストからの 6 つの単語は、そのリストに対する電子フロンティア財団独自の推奨事項であり、このツールのデフォルトはそれです。各単語は約 12.9 bits に寄与するため、そのうちの 6 つがおおよそ 77 bits になります。これは、1 秒間に 1 兆回の推測を実行するオフライン攻撃者が依然として非常に長い時間を検索するのに十分な量ですが、フレーズ自体はリハーサルするには十分な短さです。

64 bits に関する 5 つの単語は、十分なリソースを使用したオフライン攻撃が理論的ではなくなるポイントです。これは、あまり気にしないアカウントにとっては合理的な選択ですが、他のものを保護するものにとっては不適切な選択です。

パスワード マネージャー、デバイスのログイン、電子メール アカウントのロックを解除するパスフレーズなど、他のすべてを保護する 2 つまたは 3 つのパスフレーズを作成するには、7 つまたは 8 つの単語を使用する価値があります。これらは、学習するために頻繁に入力するパスフレーズであり、侵害された場合に最もコストがかかるパスフレーズです。

8 単語を超えると、価値が急激に減少します。この時点で、パスフレーズはすでに推測攻撃の範囲をはるかに超えており、フィッシング ページ、マシン上のマルウェア、平文で保存されている悪質な Web サイトなどの現実的な脅威には、パスフレーズの長さは関係ありません。

どの単語リストを使用するか

長いリストには 7,776 語 (5 つのサイコロのサイコロの出目 6 個) が含まれており、各単語が最も強い強度 (12.9 bits 程度) を持つため、これがデフォルトです。その言葉は長く、いくつかの不明瞭な部分もありますが、それはあなたが行うことです。

短いリストには、それぞれ約 10.3 bits 個の 1,296 ワードが含まれています。この単語はより一般的であり、入力するのも早くなります。これは、ゲーム機やテレビのリモコンでパスフレーズを入力する場合に重要です。各単語の価値は低いため、長いリストから 6 つを一致させるには、およそ 7 ～ 8 つの単語が必要になります。

3 番目のリストは短いリストと同じサイズですが、どの単語も他の単語の接頭語にならないように、また最初の 3 文字で単語を一意に識別できるように選択されています。これは、オートコンプリートを備えたデバイスや扱いにくいキーボードを備えたデバイスでは非常に便利で、通常の短いリストに比べて強度はまったくかかりません。

リストが大きいほど自動的に優れているわけではありません。重要なのは単語の数にそれぞれの強さを掛け合わせたものであり、余分な単語を 1 ～ 2 つ含む短いリストでも同じ場所に到達します。

詳細オプションで実際に何が変わるのか

単語が描画される前に、最小語長と最大語長によってリストがフィルタリングされます。これは正真正銘の取引です。範囲を 5 ～ 9 文字に狭めると、結果が読みやすく、入力しやすくなりますが、各単語の由来となるプールも縮小されるため、各単語の強度がわずかに低下します。ページ上のエントロピー数値は、完全なリストではなく、フィルターされたプールから計算されるため、選択した内容がすでに反映されています。

区切り記号により、単語の結合方法が変わります。スペースは最も読みやすく、ほとんどの人が再入力しやすいと感じるものですが、一部のログイン フォームではスペースがトリミングまたは拒否されるため、ハイフンとアンダースコアが使用されます。ランダム オプションを選択すると、ギャップごとに 5 文字から新しいセパレーターが選択され、実際の強度が少量 (ギャップごとに約 2.3 bits) 追加され、図に示されているようにカウントされます。

大文字と小文字のオプションが存在するのは、多くのサイトが依然として大文字を要求しているためです。小文字、大文字、最初の文字の大文字化、および交互はすべて固定ルールです。ルールを知っている攻撃者はそれから何も得られないため、どれも強度を高めません。ランダム オプションは異なります。各単語は独立して大文字または小文字であり、単語ごとに正確に 1 ビットが追加され、カウントされます。

アクロスティックは、各単語が選択した文字で始まるように制限するため、イニシャルが何かを綴ります。これは記憶を助けるものですが、体力が必要です。プール全体から抽出するのではなく、各単語がその文字で始まるはるかに小さいセットから抽出されます。このページでは、入力した文字のエントロピーが再計算され、現在のリストおよび長さの範囲内にそれらの文字で始まる単語がない場合は、明確に通知されます。

パスフレーズまたはランダムなパスワード?

人間が覚えて入力する必要があるパスフレーズを使用します。パスワード マネージャー独自のマスター パスワード、デバイスのログイン、ディスク暗号化キー、パスワード マネージャーが搭載されていないマシンからアクセスする必要があるアカウントなどです。

それ以外の場所ではランダムなパスワードを使用します。マネージャーを適切に使用すれば、ほぼどこでも使用できます。これらを入力することは決してないので、覚えていても何も代えられません。また、20 個のランダムな文字は、同等のパスフレーズよりも少ないキーストロークにより多くの強度を詰め込みます。

約 80 個の記号を組み合わせたアルファベットから抽出された 20 文字のランダムなパスワードは、およそ 126 bits の価値があり、これは長いリストの 8 単語をゆうに超えます。このページでは、[詳細オプション] の [ランダム パスワード] セクションでそれらも生成します。

両方が同じ場所にあるのには理由があります。正しい答えは入力を行うのが人間かプログラムかによって異なり、それは一度解決するのではなく、毎回尋ねる価値のある質問です。

結果を上手に活用する

形成する価値のある習慣がもう 1 つあります。それは、カレンダーではなく、侵害の通知、共有デバイス、疑惑などの理由がある場合にパスフレーズを変更することです。強制的に定期的にローテーションを行うと、人々は最後に数字を増やすことで対処するため、より弱いパスワードが確実に生成されます。

1. テキストを選択するのではなく、[コピー] ボタンを使用してコピーすると、両端が失われたりトリミングされたりすることはありません。
2. 他の場所に貼り付ける前に、パスワード マネージャーに直接貼り付けてください。管理者に決して届かないパスフレーズは、最終的にリセットすることになります。
3. 1 つのアカウントに対してのみ使用し、他には使用しません。再利用は、1 つのサイトの侵害をすべてのアカウントの問題に変えるものであり、エントロピーがいくらあっても役に立ちません。
4. より個人的な印象を与えるために、あなたの誕生年、サイトの名前、感嘆符など、思い出に残る調整を加えないでください。これらの追加は、まさに推測ソフトウェアが最初に拡張するものであり、ここに来た目的のランダム性を元に戻します。
5. パスフレーズが長すぎる、またはスペースが含まれているという理由でサイトが拒否した場合は、代わりのパスフレーズを手動で作成するのではなく、単語で短くするか、区切り文字を切り替えてください。

あなたが生成したものはどうなりますか

ToolAcre はブラウザ内でローカルにパスワードを生成します。非常に機密性の高い環境では、Web ベースのパスワード ジェネレーターを使用する前に、ブラウザー、デバイス、オペレーティング システムが信頼できることを確認してください。

• すべてのパスフレーズとパスワードは、ブラウザー独自の暗号化乱数ジェネレーターによってブラウザー タブで生成されます。ページが読み込まれると、サーバーは関与しません。
• ここで生成されたものは ToolAcre には送信されません。この製品のコンテンツ セキュリティ ポリシーは、ページを独自のオリジンに制限するため、ブラウザ自体が他の場所にデータを送信しようとする試みをブロックします。
• ローカル ストレージ、セッション ストレージ、Cookie、ブラウザ内データベース、アドレス バー、ブラウザ コンソールには何も書き込まれません。リロードすると破棄されます。タブを閉じると破棄されます。
• アカウント、サインイン、分析スクリプト、広告スクリプトはありません。ダウンロードされるファイルは静的な単語リストのみです。
• 履歴は保存されません。再度生成すると値が置き換えられ、以前の値は回復できません。

質問

制限事項

• 単語リストは英語です。英語の単語で作られたパスフレーズは、英語を話さない人にとっても弱いわけではありませんが、覚えるのが難しくなり、それが最も重要なことです。
• エントロピー図は、目の前にある特定のパスフレーズではなく、設定を説明します。どのような結果も、偶然には意味があるように見える可能性があります。
• このページでは、使用しようとしているサイトがパスワードを適切に保存しているかどうかを知ることはできません。平文データベース内の完全に強力なパスフレーズは、そのデータベースが漏洩すると依然として公開されます。
• 一部のログイン フォームでは、長い入力が自動的に切り詰められたり、スペースが削除されたりします。パスワード変更後にパスフレーズが機能しなくなった場合、それが通常の原因です。
• アクロスティックは常に強度を低下させます。これは、実際に使用している記憶に残るパスフレーズが、毎月リセットする強力なパスフレーズよりも優れているために提供されていますが、取引は本物であり、ページにはそれが表示されます。