サービスを安全に使うために長くて複雑なパスワードは欠かせない。だが、パスワードに長さや複雑さを求めるとさまざまな問題が生じる。そうした中で注目されているパスフレーズとは。
攻撃者は企業ネットワークに侵入するために、「パスワード」を標的にすることがある。パスワードの解読や窃取方法としては、ブルートフォース（総当たり）攻撃やソーシャルエンジニアリング（人をターゲットにパスワードや個人情報を盗み出すだましの手法）、その他ハッキングツールの活用などがある。
パスワードを守るため、セキュリティの専門家は「パスフレーズ」形式のパスワードを使うことを推奨している。パスフレーズとは何か。どのようなメリットがあるのか。従来型のパスワードの問題点も解説する。
不正アクセスを狙う攻撃者は、パスワードを突破するために複数の手段を用いる。よく使われるのがブルートフォース攻撃だ。ツールが文字の組み合わせを自動生成し、それを使ってログインを試行し、間違っていたら組み合わせを変更して何度も試す攻撃だ。
ブルートフォース攻撃に対抗するため、多くの企業は従業員により複雑なパスワードを作成するよう指示している。要するに、文字数や文字の種類を増やしてパスワードを設定するということだ。
銀行のATMで使う4桁の暗証番号について考えてみよう。0から9までの数字を使用できるとすれば、不正ログインに成功するには最大で1万通りの組み合わせを試す必要がある。だが、同じ4桁の暗証番号でも数字にアルファベットの小文字26種類を組み合わせれば、組み合わせのパターンは36の4乗となり、攻撃者は最大で167万9616通りの暗証番号を試す必要がある。
しかし、パスワードが複雑になるほどユーザーが覚えにくくなるというデメリットもある。もし特殊文字、数字、大文字と小文字を含むパスワードを無作為に組み合わせた場合、覚えることはほぼ不可能だ。
そのため、ユーザーは覚えられないような複雑なパスワードを避け、覚えやすいパスワードを設定する傾向にある。例えば、パスワードに特殊文字と大文字が必要な場合、大半のユーザーは最初の文字を大文字にし、最後の文字を感嘆符「！」にする傾向にある。攻撃者はこういった知識を利用して、試行回数を大幅に削減できる。
パスフレーズは、複数のランダムな単語やフレーズ（言い回し）を組み合わせて作成する。これにより、ユーザーは長くて破られにくいセキュアな認証情報を作成できる。
例えば「PurpleElephantSingsAtDawn」（紫色のゾウは夜明けに歌う）といったパスフレーズなら、一般的なパスワードより長くしやすく、関連性のないランダムな複数の単語で構成されているので解読が非常に困難だ。それでいて、作成者にとって記憶しやすい。
パスフレーズを作るこつは、できるだけ長くすることだ。アルファベットの小文字だけを利用しても、16文字であれば攻撃者は430垓（がい）通り以上の組み合わせを試行する必要があり、ブルートフォース攻撃で突破することは現実的でなくなる。
あらゆる方法と同様、パスフレーズにもメリットとデメリットがある。主なメリットは次の通り。
主なデメリットは次の通り。
次回は強力なパスフレーズを作成する方法を紹介する。
米国Informa TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
