不正アクセスを狙う攻撃者は、パスワードを突破するために複数の手段を用いる。よく使われるのがブルートフォース攻撃だ。ツールが文字の組み合わせを自動生成し、それを使ってログインを試行し、間違っていたら組み合わせを変更して何度も試す攻撃だ。

　ブルートフォース攻撃に対抗するため、多くの企業は従業員により複雑なパスワードを作成するよう指示している。要するに、文字数や文字の種類を増やしてパスワードを設定するということだ。

　銀行のATMで使う4桁の暗証番号について考えてみよう。0から9までの数字を使用できるとすれば、不正ログインに成功するには最大で1万通りの組み合わせを試す必要がある。だが、同じ4桁の暗証番号でも数字にアルファベットの小文字26種類を組み合わせれば、組み合わせのパターンは36の4乗となり、攻撃者は最大で167万9616通りの暗証番号を試す必要がある。

　しかし、パスワードが複雑になるほどユーザーが覚えにくくなるというデメリットもある。もし特殊文字、数字、大文字と小文字を含むパスワードを無作為に組み合わせた場合、覚えることはほぼ不可能だ。

　そのため、ユーザーは覚えられないような複雑なパスワードを避け、覚えやすいパスワードを設定する傾向にある。例えば、パスワードに特殊文字と大文字が必要な場合、大半のユーザーは最初の文字を大文字にし、最後の文字を感嘆符「！」にする傾向にある。攻撃者はこういった知識を利用して、試行回数を大幅に削減できる。

パスフレーズとは

　パスフレーズは、複数のランダムな単語やフレーズ（言い回し）を組み合わせて作成する。これにより、ユーザーは長くて破られにくいセキュアな認証情報を作成できる。

　例えば「PurpleElephantSingsAtDawn」（紫色のゾウは夜明けに歌う）といったパスフレーズなら、一般的なパスワードより長くしやすく、関連性のないランダムな複数の単語で構成されているので解読が非常に困難だ。それでいて、作成者にとって記憶しやすい。

　パスフレーズを作るこつは、できるだけ長くすることだ。アルファベットの小文字だけを利用しても、16文字であれば攻撃者は430垓（がい）通り以上の組み合わせを試行する必要があり、ブルートフォース攻撃で突破することは現実的でなくなる。

パスフレーズのメリットとデメリット

　あらゆる方法と同様、パスフレーズにもメリットとデメリットがある。主なメリットは次の通り。

• セキュリティが強固
  • 長さと複雑さを兼ね備え、ブルートフォース攻撃に対する耐性が高い。
• 記憶しやすい
  • 単語やフレーズで構成されているため、特殊文字を含む複雑なパスワードよりも覚えやすい。
• 汎用（はんよう）性が高い
  • メールや銀行の暗証番号、ソーシャルメディアのアカウントなど、複数のデバイスやサービスで設定できる。

　主なデメリットは次の通り。

• 利用できないシステムがある
  • 一部のシステムには文字数の制限があり、パスフレーズが作成できない場合がある。
• 互換性が低い
  • 例えば、単語間にスペース（空白文字）を挟むことが自然だと考えるユーザーがいるが、スペースを利用できるシステムと利用できないシステムがある。
• 面倒に感じる
  • ユーザーは覚えやすい短いフレーズにする傾向がある。

　次回は強力なパスフレーズを作成する方法を紹介する。