パスワードが破られるとき、何が起きているのか

パスワードは複雑に、と何度も言われます。けれども、なぜ複雑だとよいのかは、あまり説明されません。

破る側の手口を知ると、対策の意味がはっきりします。

手口は、おおむね3つです

一つ目は、総当たりです。 考えられる文字の組み合わせを、片端から試します。機械がやるので、短いものはすぐ尽きます。

二つ目は、辞書を使うやり方です。 よく使われるパスワードの一覧を順に試します。password123 や 19900101 のようなものは、ここで落ちます。

三つ目が、いちばん多い経路です。 他のサービスから漏れた組み合わせを、そのまま別のサービスで試します。

総当たりに対しては、複雑さより長さが効きます。

パスワード	組み合わせの数
英数字6文字	約22億通り
英数字10文字	約370京通り

記号を混ぜるより、4文字増やすほうが効きます。覚えやすい単語を3つつなげるだけでも、短い記号入りより強くなります。

他所から漏れたものをそのまま試されると、どれだけ長くても通ってしまいます。同じパスワードを複数のサービスで使っていることが問題だからです。

ここだけは、長さではなく「使い回さないこと」でしか守れません。

全部を覚えるのは無理です。優先順位をつけます。

二段階認証が使えるなら、設定しておいてください。パスワードが漏れても、もう一つの鍵が残ります。