Password Vault のパスワード強度メーター: 各レベルの意味

メーターが表示される場所

Password Vault の新しいアイテムダイアログとプロパティの編集ダイアログでは、パスワードフィールドが空でなくなるとすぐに、フィールドのすぐ下に強度メーターが表示されます。メーターは 5 つのセグメントからなるバーと強度ラベル (例: 強度: 普通) で構成されます。メーターは文字を入力するたびに更新され、パスワード ジェネレーターが新しいパスワードをフィールドに入力したときにも更新されます。

5 つのレベル

メーターは、ビット数で表す概算のエントロピーを使用します。数学的なモデルでは 1 ビット増えると探索空間は 2 倍になりますが、この簡易計算は実際の試行回数や解読に必要な時間を予測するものではありません。推定値は次の 5 つのレベルに対応付けられます。

推定の計算方法

計算はブラウザー内で行われ、次の 4 つの要素が考慮されます。

1. 文字プール。 メーターは、パスワードに含まれる文字の種類を確認し、その文字数を合計します。小文字の英字 (a-z) は 26、大文字の英字 (A-Z) は 26、数字は 10、それ以外の文字 (記号、スペース、発音区別符号付きの文字など) は 32 として数えます。したがって、4 種類すべてを含むパスワードのプールは 94 文字となり、1 文字あたり約 6.55 ビットになります。小文字だけのパスワードでは、1 文字あたり約 4.7 ビットです。
2. 実効長。 まず、パスワードの長さを異なる文字の数の 2 倍までに制限します。次に、直前の文字を繰り返す文字 (aa) や昇順・降順の連続を続ける文字 (ab、21) の数を差し引き、結果が負になる場合はゼロとします。そのため、少ない種類の文字で構成された長いパスワードは、強度があまり上がりません。
3. ビット数。 推定値は、実効長にプールの 1 文字あたりのビット数を掛けたものです。
4. よく使われる単語。 パスワードに、よく知られた弱い単語 (password、passw0rd、qwerty、admin、welcome、letmein、123456、abc123、iloveyou、11111) のいずれかが大文字と小文字を問わず含まれている場合、推定値は 20 ビットに制限されます。これは、パスワードの残りの部分がどれだけ長くても、常に非常に弱いになります。

例

次の例は、いくつかのパスワードに対してメーターが表示するレベルを示しています。

これらの例のパスワードは使用しないでください。

メーターは保存をブロックしない

メーターはあくまで目安です。非常に弱いパスワードのエントリも保存できます。たとえば、サービス側でパスワードが指定されている場合や、既存のパスワードを記録する場合です。Password Vault がパスワードを拒否したり変更したりすることはありません。判断はユーザーに委ねられます。

より強力なパスワードにするためのヒント

• 長くしてください。 長さは最も効果的な要素です。ランダムな文字を 1 文字追加するごとに、最大 6.55 ビット増えます。
• 4 種類の文字をすべて組み合わせてください。 サービスで許可されている場合は、大文字と小文字、数字、記号を組み合わせます。
• パターンを避けてください。 繰り返しの文字、キーボードやアルファベットの並び、年、上記のよく使われる単語などです。
• 文字セットが小さい場合の限界に注意してください。 数字だけのパスワードは、異なる文字が最大でも 10 種類しかないため、非常に強いには決して達しません。
• ジェネレーターに任せましょう。 4 種類すべてを使用して生成された 16 文字のパスワードは、ほぼ必ず非常に強いになります。KB10445. Password Vault のジェネレーターで強力なパスワードを生成する方法を参照してください。