Password Vault のパスワード強度メーター: 各レベルの意味

メーターが表示される場所

Password Vault の新しいアイテムダイアログとプロパティの編集ダイアログでは、パスワードフィールドが空でなくなるとすぐに、フィールドのすぐ下に強度メーターが表示されます。メーターは 5 つのセグメントからなるバーと強度ラベル (例: 強度: 普通) で構成されます。メーターは文字を入力するたびに更新され、パスワード ジェネレーターが新しいパスワードをフィールドに入力したときにも更新されます。

5 つのレベル

メーターは、パスワードの推測がどれだけ難しいかを推定し、ビット数で表します。1 ビット増えるごとに、攻撃者が必要とする推測の回数は 2 倍になります。推定値は次の 5 つのレベルに対応付けられます。

推定の計算方法

計算はブラウザー内で行われ、次の 4 つの要素が考慮されます。

1. 文字プール。 メーターは、パスワードに含まれる文字の種類を確認し、その文字数を合計します。小文字は 26、大文字は 26、数字は 10、それ以外の文字 (記号、スペース、発音区別符号付きの文字など) は 32 として数えます。したがって、4 種類すべてを含むパスワードのプールは 94 文字となり、1 文字あたり約 6.55 ビットになります。小文字だけのパスワードでは、1 文字あたり約 4.7 ビットです。
2. 実効長。 予測しやすいパターンがあると、長さが差し引かれます。直前の文字を繰り返す文字 (aa) や、昇順または降順の連続を続ける文字 (ab、21) は数えられません。さらに、実効長はパスワードに含まれる異なる文字の数の 2 倍を超えることはできないため、少ない種類の文字で作られた長いパスワードは、強度がほとんど上がりません。
3. ビット数。 推定値は、実効長にプールの 1 文字あたりのビット数を掛けたものです。
4. よく使われる単語。 パスワードに、よく知られた弱い単語 (password、passw0rd、qwerty、admin、welcome、letmein、123456、abc123、iloveyou、11111) のいずれかが大文字と小文字を問わず含まれている場合、推定値は 20 ビットに制限されます。これは、パスワードの残りの部分がどれだけ長くても、常に非常に弱いになります。

例

次の例は、いくつかのパスワードに対してメーターが表示するレベルを示しています。

これらの例のパスワードは使用しないでください。

メーターは保存をブロックしない

メーターはあくまで目安です。非常に弱いパスワードのエントリも保存できます。たとえば、サービス側でパスワードが指定されている場合や、既存のパスワードを記録する場合です。Password Vault がパスワードを拒否したり変更したりすることはありません。判断はユーザーに委ねられます。

より強力なパスワードにするためのヒント

• 長くしてください。 長さは最も効果的な要素です。ランダムな文字を 1 文字追加するごとに、最大 6.55 ビット増えます。
• 4 種類の文字をすべて組み合わせてください。 サービスで許可されている場合は、大文字と小文字、数字、記号を組み合わせます。
• パターンを避けてください。 繰り返しの文字、キーボードやアルファベットの並び、年、上記のよく使われる単語などです。
• 文字セットが小さい場合の限界に注意してください。 数字だけのパスワードは、異なる文字が最大でも 10 種類しかないため、非常に強いには決して達しません。
• ジェネレーターに任せましょう。 4 種類すべてを使用して生成された 16 文字のパスワードは、ほぼ必ず非常に強いになります。KB10445. Password Vault のジェネレーターで強力なパスワードを生成する方法を参照してください。