「パスワードガイドライン」

NISTが推奨するパスワードの長さとその根拠について、わかりやすく解説します。

🔑 NISTによるパスワード長の推奨

 ✅ 最低12文字（旧ガイドラインでは8文字）

NIST Special Publication 800-63B（2020年改訂）では：
  - ユーザーが作成するパスワードは、最低でも8文字以上とされていますが、
  - セキュリティの高い環境では12文字以上を強く推奨しています。
  - 上限は少なくとも64文字まで許可すべきとも書かれています。

📘 その根拠と理由

 1. ブルートフォース攻撃への耐性向上
  - パスワードの桁数が1つ増えるごとに、総当たり（ブルートフォース）攻撃の必要な試行回数が指数的に増加します。
  - 例：  
   - 8文字（英大小＋数字）：約2京通り（= 62⁸）  
   - 12文字になると：約3千兆兆通り（= 62¹²）  
   ⇒ 攻撃にかかる時間が現実的でなくなる

2. 複雑さより「長さ」の方が覚えやすくて安全
  - 人は「複雑な短い文字列」よりも「長くても意味のあるフレーズ」の方が覚えやすい。
  - 例：  
   - ❌ `x7T#9&Yq`（8文字） → 忘れやすい  
   - ✅ `IHave2CatsAndLoveCoffee`（24文字）→ 長くても覚えやすい

 3. 使い回し防止にも有効
   - 長いパスワードは他のサービスと被りにくくなり、使い回しによるリスクが低減します。

 📌 補足：ユーザー支援のための工夫
   - パスワードの最大長 ➡️ 64文以上までシステムが受け入れることを推奨
   - 辞書攻撃や漏洩パスワードはシステム側で検出・ブロックする
   - 記号や大文字の強制は不要（強制すると短く単純なパターンになりがち）

 🎯まとめ


項目
内容


最低文字数
8文字（可能なら12文字以上）


理由
総当たり攻撃への耐性、覚えやすさ、使い回し防止


推奨形態
 長くて意味のあるパスフレーズ（例：「IlikeSobaWithTempura」）

記号なしで安全なパスフレーズ生成例

日本語風パスフレーズの例（ローマ字表記）


パスフレーズ例
意味
長さ


SakuraToFujiNoYuki23
桜と富士の雪＋数字
18文字


AsaGohanWaSalmonDesu8
朝ごはんは鮭です＋数字
22文字


TanoshiiYamaNobori99
楽しい山登り＋数字
20文字


NekoGaNekoNiNatta17
猫が猫になった（言葉遊び）
	20文字


TokyoNoYoruWaKirei45
東京の夜はきれい＋数字
21文字

ハッカーはどのような手段でパスワードを破るか?

ハッカーがパスワードを破る手段は多岐にわたりますが、主に以下のような方法があります。これらを知ることで、どのように対策すればよいかも明確になります。

🛠 ハッカーが使う主なパスワード破りの手法

1. 🔁 ブルートフォース攻撃（総当たり）
- 全ての可能な文字列の組み合わせを試して、正しいパスワードを突き止める。
- 短いパスワードや単純な構成だと破られやすい。
- 対策：
  - 長く複雑なパスワード
  - ログイン試行回数制限（ロックアウト）

2. 📚 辞書攻撃
- 辞書に載っている単語や、よく使われるパスワード（例：`123456`, `password`, `letmein`など）を順番に試す。
- 実際に多くの人が「簡単に思いつく言葉」を使っているため成功率が高い。
- 対策：
  - 意味のある単語の単体使用を避ける（例：`Cat`, `Baseball` など）
  - 複数の単語を組み合わせる（パスフレーズ）

3. 💥 漏洩パスワードの再利用
- 他のサービスから流出したID・パスワードのリストを使い、別のサイトにログインを試みる（クレデンシャルスタッフィング）。
- 1つの漏洩が他のサービスにも波及。
- 対策：
  - 各サービスで異なるパスワードを使う
  - パスワードマネージャーの活用

4. 🧑‍💻 フィッシング攻撃
- 偽のログイン画面やメールで、ユーザーから直接パスワードを盗み取る手口。
- 本物そっくりのメールやURLに騙されるケースが多い。
- 対策：
  - メール内リンクを安易にクリックしない
  - URLや送信元を慎重に確認する
  - 2段階認証（2FA）を設定

5. 🐛 マルウェアによる盗聴（キーロガーなど）
- PCやスマホに侵入し、キーボードの入力を記録してパスワードを抜き取る。
- 特にフリーWi-Fiや不審な添付ファイルに注意。
- 対策：
  - セキュリティソフトの導入と更新
  - 怪しいファイルは開かない

 6. 🧠 ソーシャルエンジニアリング
- ユーザーの「誕生日」や「ペットの名前」など、個人情報からパスワードを推測する。
- SNSの投稿などもヒントにされやすい。
- 対策：
  - 個人情報ベースのパスワードを避ける
  - 公開情報の範囲に注意

7. 🧰 レインボーテーブル攻撃（暗号化パスワードの逆引き）
- ハッシュ化*されたパスワードを元の形に戻すための「逆引き表（レインボーテーブル）」を使う。
- 対策：
  - サーバー側でのソルト（salt）付きハッシュ化
  - サービス提供側のセキュリティ実装が重要
  (*ハッシュ化:暗号化)

 🧷 総まとめ：ハッカーに破られにくくするために


対策
具体的な行動


 パスワードの強化
長く・ユニークなパスフレーズを使用


使い回し防止
各サービスで異なるパスワード


二要素認証の導入
2FAや生体認証を活用


不審なメール・リンクに注意
フィッシングに騙されない


セキュリティソフト導入
マルウェアからの防御


SNSに注意
 個人情報の露出を控える

Googleのパスワード管理機能は安全か?

Googleのパスワード管理機能（Chromeのパスワードマネージャーなど）は、基本的には安全性の高い仕組みですが、いくつかのメリットと注意点があります。

✅ Googleのパスワード管理機能とは

Chrome や Android、Google アカウントに組み込まれている機能で：
- ウェブサイトやアプリのパスワードを自動的に保存・入力
- Google アカウントと連携してクラウドで管理
- 漏洩があれば警告してくれる（パスワードチェック機能あり）

🛡️ 安全性は高い？ → 一定の条件下で「はい」

 ✔ 安全な理由

項目
説明 
🔐 暗号化保存
パスワードはGoogleのサーバー上で暗号化されて保存されます（端末ではローカルでも暗号化）
📱 二段階認証（2FA）と連動
📱 二段階認証（2FA）と連動
 🔎 パスワード漏洩チェック 
漏洩パスワードの自動検知と警告機能あり
 🌐 どのデバイスからでもアクセス可
Google アカウントでログインすれば、スマホ・PC問わずアクセス可能

 ⚠ 注意点（使うときに気をつけたいこと）

 注意点 
理由・補足
🔓 Googleアカウントが突破されると全て見られる
パスワード管理の「鍵」がGoogleアカウントなので、2FA必須
📱 端末の盗難時は端末ロックが重要 
 スマホを盗まれると自動入力機能が悪用される可能性あり
💻 職場PCなど「共用端末」では保存しない
 他人にアクセスされるリスクがあるので、自動保存は禁止 |
🔐 パスワードの確認がブラウザでできてしまう 
`chrome://password-manager` などで確認できるため、端末のセキュリティが肝心


🧠 結論：Googleパスワード管理は “安全性と利便性のバランスが良い”

ただし：
- Googleアカウントに強固なパスワードを設定すること
- 2段階認証（2FA）を有効にすること
- 万が一に備えてバックアップ方法（リカバリーコード）を用意すること

これらを徹底すれば、Googleのパスワードマネージャーは多くの人にとって「信頼できる選択肢」です。

分かってはいるが面倒なのがパスワード管理。頻繁にパスワード変更を求められた頃はうんざりしていた。 結局似たようなパスワードや短いパスワードを設定してしまう、など実質的な安全性は上がらないという。

12桁のパスワードを総当たりで攻撃するには、現代のGPUを使ったパスワードクラッキングツール（例：Hashcat）でも千年以上かかるという。現実には何度もトライすると遮断(ロックアウト)される

補足:

・NIST用語
NIST Special Publication 800-63B
 : 5.1.1.2「Memorized Secret Verifiers」 Verifiers SHOULD NOT require memorized secrets to be changed arbitrarily (e.g., periodically). However, verifiers SHALL force a change if there is evidence of compromise of the authenticator.

 Claimant ─▶︎  Authenticator ──▶︎  Verifier      
       ▲                                                    │       
        │                                                    ▼
       └────◀───────◀───────┘
          Authentication (Verification)
   

NISTデジタルIDフレームワーク：用語マップ