生成パスワードは出発点であり、アカウント保護の全部ではない
生成ツールは推測しやすい並びや使い回しを避ける助けになります。長い文字列でも、漏えいや偽ログインページ、不適切な保存は解決できません。
予測しやすい型を作らず、条件を満たす
サービスが受け付ける長さと文字グループを選びます。既知の言葉や繰り返しに数字や記号を足してもランダムにはなりません。見た目だけでなく選び方が重要です。
この生成器では、選んだ各グループから最低1文字を含めます。見分けにくい文字を除くと手入力は楽になりますが選択肢は減るため、自動的な安全性向上ではありません。
候補数ですべての攻撃を説明できるわけではない
選択空間の推定は、指定された生成方法を前提にします。同じ長さでも人が考えたパスワードへ当てはめたり、破られる時間を保証したりはできません。
すでに知られたり端末やサービスから盗まれたりした場合、生成時の強さはその失敗の解決になりにくくなります。表示値は端末、漏えい、保存方法を検査していません。
使い回さないことも保護の一部
一つのパスワードを変形して覚えるより、サービスごとに独立したものと適切な管理ツールを使います。NISTは異なるパスワードや管理ツールの対応の価値を説明しています。
利用できる追加保護を有効にし、入力先を確認してください。公開例を秘密として使ったり、生成結果を報告書や画像で見せたりしないでください。
参考資料: NIST SP 800-63B-4 — Passwords, password managers and account authentication
コピー用ではなく、長さを理解する例
説明のため、0–9から独立してランダムに選ぶとします。長さ12なら10^12通り、16なら10^16通りで、選択空間は10000倍です。
特定の数字パスワードを勧めるものでも、人が選んだ16文字に同じ空間がある証明でもありません。特定のモデルで長さの効果だけを示しています。公開例を写さず、新しい秘密を生成しましょう。