パスワード強度チェッカー

このパスワード強度チェッカーがすること

パスワードの長さと文字の種類を測り、攻撃側が真っ先に試すパターンを探し、それを評価・チェックリスト・具体的な改善案にまとめます。解析はすべてブラウザー内で行われるため、パスワードが端末の外に出ることはありません。この種のツールを誠実に作る方法はそれしかありません。

評価の計算方法

まず長さです。区切りは8、12、16、20文字で、12文字未満は「まずまず」を超えません。その上で、小文字・大文字・数字・記号のうち何種類が使われているかを数えます。最後に減点が効きます。これが評価を誠実に保つ部分で、流出リストにあるパスワード、変装したよくある単語、繰り返しの文字、1234のような並びは、どれだけ長くても上限がかかります。

より強いパスワードのこつ

複雑さより長さです。ふつうの単語を4つつなげたほうが、記号8文字より解読されにくく、入力もずっと楽です。サイト間でパスワードを使い回してはいけません。ひとつの流出が他のすべてへの侵入になります。パスワード管理ソフトを使えば、覚えなくてよい長く固有のパスワードをアカウントごとに持てます。二要素認証も、提供されている場所ではすべて有効にしてください。

パスワードの調べ方

パスワードを入力すると、その場で評価とチェックリストが表示されます。

1. パスワードを入力欄に入力するか貼り付けます。
2. 評価、チェックリスト、提案を読みます。
3. パスワードを直し、強くなるまで評価の変化を見ます。

よくある質問

このツールはパスワードをどこかに送信しますか？
いいえ。すべてブラウザー内で動きます。パスワードがネットワークを流れることも、保存されることも、ページのアドレスに載ることもありません。

実際に使っているパスワードを入力してよいですか？
解析は手元で行われるので何も送信されません。とはいえ、本物ではなく少し変えたものを試すのが安全な習慣です。そして、使っているパスワードがここで低い評価になったら変更してください。

どれくらいの長さなら強いと言えますか？
12文字が下限で、メール、銀行、他のアカウントを再設定できるものには16文字以上が望ましいです。

記号は必要ですか？
役には立ちますが、長さと固有であることのほうがはるかに重要です。記号のない長いパスフレーズは、記号だらけの短いパスワードに勝ります。

解読時間はどう見積もっていますか？
探索空間の大きさから求めています。パスワードファイルを盗んだ攻撃者がGPUで毎秒およそ100億回試すという前提です。現実的な最悪の場合であり、パスワードを正しく保存しているサイトなら、これより何桁も遅くなります。

Wikipedia — Password strength
Wikipedia — Password cracking
Wikipedia — Entropy
Wikipedia — Passphrase
Wikipedia — Dictionary attack
Wikipedia — Password manager