パスワード生成

パスワード生成について

このツールは3つの方式でパスワードを作ります。ランダムな文字の組み合わせ、発音しやすい文字列、そして単語をつないだパスフレーズです。すべての乱択はcrypto.getRandomValuesを使い、Math.randomは使いません。Math.randomは予測可能な値になり得て、秘密の用途に向かないためです。

各結果の横にはエントロピー(ビット)が表示されます。エントロピーはその方式で出得る場合の数を2の累乗で表した値で、パスワードの強さを測る最も正直な単一の指標です。以下でこの数の計算方法と、なぜ「長さ」が「複雑さの規則」より重要かを説明します。

エントロピー = 長さ × log2(文字種数)

ランダム文字モードで各文字を文字集合から一様に選ぶと、エントロピーは 長さ × log2(文字集合の大きさ) です。本ツールの全文字集合は 大文字26 + 小文字26 + 数字10 + 記号25 = 87種。log2(87) ≈ 6.44ビットなので、1文字が約6.44ビットを担います。

したがって12文字で約77ビット、16文字で約103ビット。1文字増えるごとに6.44ビット、つまり場合の数が87倍になります。逆に文字種を減らす(小文字のみ26種、log2(26)≈4.7ビット)と同じ長さでもエントロピーは下がります。「紛らわしい文字を除外」を有効にすると0・O・1・l・I・|などが抜けて集合がわずかに小さくなり、エントロピーもごくわずか下がります。

この計算は文字を本当にランダムに選んだときだけ成り立ちます。人が作る「P@ssw0rd!」のようなパスワードは文字数が多くても予測可能なパターンなので実際のエントロピーははるかに低いです。表示されるビット値は、本ツールがランダム生成した場合にのみ有効です。

複雑さの規則より長さが重要な理由

「大文字・数字・記号を必ず混ぜよ」という規則は文字集合を広げて1文字あたりのエントロピーを少し上げます。しかし長さを増やす方がはるかに効率的です。小文字のみ20文字(log2(26)×20 ≈ 94ビット)は、87種14文字(≈90ビット)より強いのです。むしろ規則は「Password1!」のような分かりやすいパターンを誘発し、予測可能性を高めます。

NISTのデジタルID指針(SP 800-63B、2025年改訂)はこの方向を明文化しました。利用者が決めるパスワードは最低8文字以上(パスワードのみを要素とする場合は15文字以上)を認め、最大64文字以上を許可し、文字種を強制する組み合わせ規則を課さないこと。また定期的な強制変更を求めず(漏えいの兆候があるときのみ変更)、漏えいパスワード一覧と照合してよくある値をはじくこととしています。

パスフレーズ:なぜ数語で安全になるのか

パスフレーズモードは256語(ちょうど2^8)の一覧から重複なく選んでつなぎます。一覧の大きさが2の累乗なので1語がちょうど8ビットです。ただし重複なしで選ぶ(非復元抽出)ため正確な値は少し異なり、5語で log2(256×255×254×253×252) ≈ 39.9ビットです。

有名なDiceware方式は7,776語(6面サイコロ5回)の一覧を使い、1語 log2(7776) ≈ 12.9ビット、6語で約77ビットです。本ツールの一覧はどの言語圏の利用者でも誤字なく書き写せるよう、短くありふれた英単語256語に絞ったので1語あたりのビットは低めですが、語数を増やせば補えます。要は人には覚えやすく機械には当てにくい点です。

「先頭大文字化」や「末尾に数字追加」オプションは見た目ほど強くしません。位置固定の先頭大文字は場合の数を増やさず、末尾1桁の数字は log2(10) ≈ 3.3ビットだけです。本当に強くするなら語数を増やしてください。

発音可能モードのトレードオフ

発音可能モードは子音(20種)と母音(5種)を交互につないで読みやすい文字列にしますが、その分1文字あたりのエントロピーが低くなります。子音は log2(20) ≈ 4.32ビット、母音は log2(5) ≈ 2.32ビットなので、子音+母音の一対で約6.64ビット。10文字で約39.9ビットにすぎません。

覚えやすい反面、ランダム文字モードよりずっと弱いということです。目で読んで打ち直す必要がある一時的なパスワード程度に使い、長く守るべきアカウントには十分に長いランダム文字か語数の多いパスフレーズを使ってください。

例

使い方

1. ランダム文字・発音可能・パスフレーズから方式を選びます。
2. 長さや語数、含める文字種を調整します。
3. 表示されるエントロピー(ビット)で強さを確認します。
4. 生成値をコピーして使います。作り直すには再生成します。

主な用語

エントロピー(ビット)

ランダム生成で出得る場合の数をlog2で表した値。大きいほど当てにくい。

文字集合の大きさ

1つの位置に来得る文字の種類数。大きいほど1文字あたりのエントロピーが大きい。

パスフレーズ

複数の単語をつないだパスワード。覚えやすく、長さでエントロピーを確保します。

よくある質問

関連ガイド

• パスワードはどう保存されるのか:平文からArgon2まで