パスワード強度チェッカー

使い方

1. パスワード欄にパスワードを入力します。文字は隠れています。入力内容を読むには、表示を押します。
2. 推定エントロピーと強度の表示を読みます。ビット数が多いほど、攻撃者が推測する回数は増えます。
3. 3つの想定速度での平均解読時間の3行と、その下の NIST の照合を確認します。
4. 見つかったパターンを見ると、推測する側が最初に試しそうな部分が分かります。

推定の仕組み

どのパターンにも当てはまらない文字は、使える文字の集まり（プール）の大きさについて log2のビット数を使います。プールは、小文字26字、大文字26字、数字10字、記号と空白33字、その他の文字100字で決まります。パターンにはそれぞれ固有のビット数があります。よく使われる単語リストの単語は、一覧での順位に応じたビット数がかかります。同じ文字の繰り返し、順番に並んだ文字、キーボード上で隣り合うキーの並び、年号は、少ないビット数で済みます。

推定値は、文字とパターンへの分け方のうち、最も安く済む分け方から求めます。推測する側が部分を試す順番は数えていないため、推定値は少し低く出ることがあります。どの数値も実際の攻撃を測ったものではなく、規模を示す目安です。

ランダムだった場合のエントロピー = 長さ x log2(プール);   推定値 = 文字とパターンへの最も安い分け方

NIST SP 800-63B の指針

単独で使うパスワードは15文字以上であることが必要で、多要素認証の一部としてだけ使うパスワードは8文字でもかまいません。検証の仕組みは、少なくとも64文字を受け付け、スペースと印字可能なすべての文字を受け付けるべきです。

検証の仕組みは、文字種を混ぜるといった構成の規則を課してはならず、漏えいした証拠がない限り、定期的な変更を強制してはなりません。パスワード全体を、よく使われるものや漏えいしたものの一覧と照合しなければならず、貼り付けを認めることが望ましく、パスワード管理ツールと自動入力を許さなければなりません。

よくある質問