ホーム>パスワード強度チェック

パスワード強度チェック

パスワード強度チェックでは、文字数・文字種・推定エントロピー・既知の弱いパターンから安全性の目安を診断します。新しいパスワードを作る機能ではなく、候補の弱点を見直すためのツールです。重要なアカウントの実物は避け、特徴を再現した近似サンプルでお試しください。

診断したいパスワードを入力

入力された内容はこのブラウザの中だけで処理され、どこにも送信・保存されません。

パスワードを入力すると、推定強度・弱点・総当たり解読の目安時間がその場で表示されます。

強度診断アルゴリズムの仕組み

このパスワード強度チェックは、入力された文字列のエントロピー（情報量）を計算し、総当たり攻撃に対する理論的な耐性を評価します。エントロピーはビット数で表され、次の公式で算出されます：

エントロピー（ビット） = log₂(文字種数^文字数)

例：16文字の英数字パスワード（62種類）
→ log₂(62¹⁶) ≈ 95.27 ビット

文字種の判定：入力された文字列を解析し、実際に含まれている文字種（英大文字・英小文字・数字・記号）を自動判定します。例えば「Password123」は英大文字1種+英小文字26種+数字10種の計37種として計算され、全4種を使った場合（94種）より低い強度と評価されます。

総当たり攻撃の時間推定：1秒間に100億回のパスワード試行が可能な高性能攻撃環境を想定し、全組合せを試すのに要する時間を計算します。40ビット以下は「弱い」、40-60ビットは「やや弱い」、60-80ビットは「普通」、80-100ビットは「強い」、100ビット以上は「非常に強い」と分類します。ただし、これはあくまで理論上の目安であり、実際の安全性はサービス側の試行回数制限や多要素認証の有無に大きく依存します。

よくある弱いパターンと実例

① 辞書単語ベースのパスワード

「password」「welcome」「admin」のような辞書に載っている単語は、攻撃者が最初に試す候補リストに含まれています。NordPassの2023年調査では、「password」は世界で490万回以上使用され、解読時間は1秒未満とされています。末尾に数字を付けた「password123」「welcome2024」も同様に危険です。辞書攻撃（Dictionary Attack）では、数万〜数百万の単語リストを高速に試行するため、長さがあってもランダム性がなければ簡単に破られます。

② 連続・反復パターン

「123456」「abcdef」「qwerty」（キーボード配列順）、「aaaaaa」（同じ文字の反復）は、パターン認識攻撃で即座に検出されます。SplashDataの調査では、「123456」は過去10年以上連続で最も使われたパスワードの1位であり、攻撃者のブルートフォースツールには必ず含まれています。エントロピー計算上は一定のビット数があっても、実際の解読難易度は極めて低くなります。

③ 個人情報の組み合わせ

誕生日（19900515）、名前（tanaka）、ペットの名前、住所の一部など、公開情報や推測可能な情報を含むパスワードは、ソーシャルエンジニアリング攻撃の対象になります。FacebookやInstagramのプロフィールから誕生日・ペット・趣味などの情報を収集し、それらを組み合わせたパスワードを優先的に試す手法が一般化しています。IPAは「個人情報を含むパスワードは避ける」ことを明確に推奨しています。

④ 短すぎるパスワード

8文字以下のパスワードは、文字種をすべて使っても52ビット以下のエントロピーしか持たず、現代のGPUクラスタでは数日〜数週間で解読可能です。NIST SP 800-63Bでは、ユーザー作成パスワードの最小長を8文字、システム生成パスワードは6文字以上と規定していますが、これはあくまで「最低限」であり、実用上は16文字以上が推奨されます。

理論強度と実際の安全性の違い

当サイトの診断ツールが示す「強度」は、数学的・理論的な総当たり攻撃耐性です。実際のセキュリティは、以下の要因にも大きく左右されます：

サービス側の対策：ログイン試行回数制限（5回失敗でロック）、CAPTCHA、多要素認証（MFA）、アカウントロックアウト機能があれば、総当たり攻撃は事実上不可能になります。
パスワードハッシュの強度：サービスがbcrypt、Argon2、PBKDF2などの遅いハッシュ関数を使用していれば、仮にデータベースが漏洩しても解読に膨大な時間がかかります。逆に、MD5やSHA-1などの高速ハッシュでは危険です。
使い回しの有無：他のサービスで同じパスワードを使っている場合、そのサービスから漏洩すれば「パスワードリスト攻撃」で即座に不正ログインされます。理論強度が高くても、使い回しは致命的です。
過去の漏洩データベース：Have I Been Pwnedには100億件以上の漏洩パスワードが登録されており、攻撃者はまずこれらを試します。当サイトでは漏洩確認機能は提供していませんが、気になる方は専用サービスをご利用ください。

診断結果「強い」でも油断しない：エントロピーが80ビット以上あっても、辞書単語を含む・他サービスと使い回している・フィッシング詐欺で直接盗まれる、といったリスクは別に存在します。パスワードの強度向上は多層防御の1つであり、パスワードマネージャー・MFA・フィッシング対策を併用することが重要です。

診断結果が弱かった場合の対処法

診断で「弱い」「やや弱い」と表示された場合、以下の手順で改善してください：

ステップ1：新しいパスワードを生成

現在のパスワードを修正するのではなく、パスワード生成ツールで完全にランダムな新しいパスワードを作成してください。「標準」モード、16文字以上、英大文字・英小文字・数字・記号をすべて有効にするのが推奨設定です。

ステップ2：パスワードマネージャーに保存

生成したパスワードは人間が記憶できないため、パスワードマネージャー（1Password、Bitwarden、Google パスワードマネージャーなど）に保存します。マスターパスワード1つを覚えれば、あとは自動入力されます。

ステップ3：サービス側で変更

対象のWebサービスにログインし、「設定」→「パスワード変更」から新しいパスワードに更新します。変更後は、パスワードマネージャーに保存したパスワードで正常にログインできることを確認してください。

ステップ4：多要素認証（MFA）を有効化

パスワードを強化しても、フィッシング詐欺で盗まれるリスクは残ります。重要なアカウント（銀行・メール・SNS）では、多要素認証（SMS認証・認証アプリ・セキュリティキー）を必ず有効にしてください。