パスワード生成

重要なアカウントには16文字以上、最低でも12文字にしてください。印字可能な94文字すべてから選ぶと、12文字で78.7ビット、16文字で104.9ビット、20文字で131.1ビットになります。1ビット増えるごとに方式が必要とする推測回数は2倍になるので、94種のプールから1文字増えるごとに約94倍になります。

プールを広げるより、長さの方が効果が大きくなります。62文字（英数字）から94文字（記号を追加）にすると1文字あたり0.60ビット増えますが、62種のプールでは1文字増やすと5.95ビット増えます。62文字から選ぶ16文字のパスワードは95.3ビットで、記号を含む12文字の78.7ビットより大きくなります。米国のデジタルID指針であるNIST SP 800-63Bは、文字種の混在を強制する規則を推奨せず、サイトに64文字以上の受け入れを求めています。

読んだり、口に出したり、手で入力したりする必要があるときは、パスフレーズが向いています。Wi-Fiのパスワード、端末へのサインイン、パスワードマネージャーのマスターパスワードなどです。1語あたり約10.34ビット増えるので、4語で41.4ビット、6語で62.0ビット、8語で82.7ビットになります。104.9ビットに並ぶには11語が必要で、同じ値なら16文字のランダムな文字列の方が短くなります。

いいえ。値はブラウザーのタブ内で、ブラウザー自身の乱数生成器によって作られ、ページに表示されます。ページはクッキー、ローカルストレージ、アドレスバー、サーバーのいずれにも何も書き込まず、履歴も残しません。「再生成」を押すかタブを閉じると、値は破棄されます。

ビットで表すエントロピーとは、方式が生成できる同様に確からしい結果の数の、2を底とする対数です。ランダムな10桁の数字のパスワードは10 × log2(10) = 33.2ビットで、100億通りです。1ビット増えると場合の数は2倍になります。この値は、ここのようにランダムな選択で作られた値に当てはまるもので、人が考えたパスワードについては何も語りません。

マネージャーはサイトごとに1つの長いランダムなパスワードを保管するので、覚えるのはマネージャー自身のマスターパスワードだけです。使い回したパスワードの安全性は、それを保管する最も弱いサイトと同じです。1つのサイトでパスワードのデータが失われると、同じパスワードを使った他のすべてのサイトでも使えてしまいます。アカウントごとに固有のランダムな値を使えば、被害はそのアカウントだけに限られます。