パスフレーズvsパスワード：エントロピーとセキュリティの解説

すべてのパスワードにはエントロピーという測定可能な特性があります——含まれるランダムネスのビット数です。50ビットのパスワードは2^50の可能性を持ちます。毎秒10億回の推測で約13日かかります。80ビットでは毎秒1兆回でも38,000年かかります。

重要な洞察は、エントロピーはパスワードの生成方法に依存し、見た目ではないということです。「Tr0ub4dor&3」は約28ビットしかありません。一方「correct horse battery staple」はEFFリストで約52ビットを提供します。

ほとんどのパスワードポリシーは実際のエントロピーではなく文字構成に焦点を当てています。「Summer2026!」はすべての複雑性要件を満たしますが、辞書攻撃で数秒で破られます。

真にランダムなパスワードの場合：エントロピー = log₂(C^L)。95文字セットの12文字パスワードは≈79ビットです。

パスフレーズの場合：エントロピー = log₂(W^N)。EFFリスト(7,776語)で：4語≈51.7ビット、5語≈64.6ビット、6語≈77.5ビット、7語≈90.5ビット。

この計算は攻撃者があなたの生成方法を知っていると仮定します——保守的で現実的なセキュリティ測定です。

パスフレーズは文字の複雑さを長さと交換し、記憶可能なまま高いエントロピーを達成します。6語のフレーズは約78ビット——ランダムな12文字パスワードに匹敵しますが、はるかに覚えやすいです。

記憶しやすさは利便性だけでなく、セキュリティ上の利点です。パスワードが覚えにくいと、ユーザーは不安全にメモしたり再利用したりします。

パスフレーズは肩越しの覗き見にも強いです。

Diceware方式は1995年にArnold Reinholdが開発し、物理的なサイコロで番号付きリストから単語を選びます。EFFは2016年にリストを更新しました。

ランダム文字パスワードは1文字あたりより高いエントロピーを達成します。16文字のランダムパスワードは約105ビット——8個のDiceware語が必要です。

パスワードマネージャーで管理するアカウントでは、記憶性が無関係なのでランダムパスワードが厳密に優れています。

ランダムパスワードはよりコンパクトで、長さ制限の低いシステムで重要です。

主な欠点は基本的に暗記不可能なことです。

パスフレーズを使う場面：マスターパスワード、PCログイン、電話PIN、ディスク暗号化、自動入力に頼れない認証情報。

ランダムパスワードを使う場面：マネージャー内のすべてのアカウント、APIキー、サービスアカウント、データベースパスワード。

最大のセキュリティには両方を組み合わせ：強力なパスフレーズをマスターパスワードに、各アカウントにユニークなランダムパスワードを使用。

個人アカウントは最低5語、高価値ターゲットは6-7語から始めます。EFFリストまたは7,776以上のエントリを持つ同等のリストを使用。

1-2の修正を検討：ランダムな1語を大文字に、2語の間に数字を挿入、または珍しい区切り文字を使用。

自分で単語を選ばないでください。人間の単語選択は一般的な単語に偏ります。常にサイコロまたは暗号学的生成器を使用。

正しく使用すれば、パスフレーズもランダムパスワードも優れたセキュリティを提供できます。選択はコンテキスト次第：パスフレーズは人間の記憶用、ランダムパスワードはマシン管理用。

どの方法でも最も重要な要素はユニーク性です。3つのサイトで再利用された完璧なパスフレーズは、3つの平凡でもユニークなパスワードよりはるかに安全性が低いです。