パスフレーズとは？パスワードとの違いやメリット・デメリットや設定のポイントを解説

パスフレーズとは、ランダムな単語やキーワードを組み合わせたパスワードのことです。従来のパスワードよりも文字数が多いため、高いセキュリティ強度を誇ります。また、ランダムな文字列と比べ覚えやすいこともパスフレーズの特徴です。

本記事では、パスフレーズの概要やメリット・デメリット、設定のポイントについて詳しく解説します。パスフレーズについて知りたい方、認証におけるセキュリティ強度を高めたい方は、ぜひ参考にしてください。

パスフレーズとは

パスフレーズとは、複数かつランダムな単語で構成されたパスワードのことです。従来の無作為な文字で構成されるパスワードの場合8文字から12文字程度ですが、パスフレーズは20文字以上になることが一般的です。例えば以下がパスフレーズに該当して、長くなることでセキュリティが強化されかつ覚えやすい特徴があります。

• Coffee Table Star River Lamp
• sordider-externat-humpless-shoot
• BURNOUTS2-TIGERLY6-BUTYRIN-EXTINE4-GLACEED

ここからは、以下の事項について解説します。

• パスワードのリスク
• パスフレーズとパスワードの違い
• パスフレーズの種類

パスワードのリスク

パスフレーズが注目されているのは、従来のパスワードにリスクが存在するためです。セキュリティに関するサービスを展開しているSecurity Hero社の調査結果によれば、一般的なパスワードのうち51％が1分以内、65％が1時間以内、71％が1日以内、81％が1ヵ月以内に解読される恐れがあります。
AIといった最新テクノロジーの進歩により業務改善や業務品質の向上などが可能となっていますが、サイバー攻撃の高度化にもつながっています。従来のパスワードを使用した場合、容易に解読・不正アクセスされたり情報を盗まれたりする可能性があるでしょう。
参照：AN AI JUST CRACKED YOUR PASSWORD｜Security Hero

パスフレーズとパスワードの違い

パスフレーズと従来型のパスワードにおける主な違い・比較は以下の通りです。

	パスフレーズ	パスワード
概要	複数の単語やフレーズで構成された文字列	ランダムな文字・数字・記号で構成された文字列
文字数目安	20文字以上	8文字から12文字程度
安全性	高い	低い
覚えやすさ	覚えやすい	覚えにくい

パスフレーズは単語やフレーズで成り立っているため、従来のものよりも文字数が多く安全性が高い特徴があります。また、無作為な文字・数字・記号の羅列ではなく記憶に残りやすいでしょう。

パスフレーズの種類

パスフレーズには主に以下の2種類があります。

• ランダムパスフレーズ：完全にランダムな単語を組み合わせたもの
• ニーモニックパスフレーズ：作成者の記憶に残りやすい単語を組み合わせたもの

ランダムパスフレーズの場合「パスフレーズジェネレーター」などのツールを活用して作成するケースもあります。

パスフレーズにおける2つのメリット

パスフレーズの活用には以下2つのメリットがあります。

• セキュリティが強化される
• 覚えやすい

順に解説します。

セキュリティが強化される

認証情報におけるセキュリティ強度は、主に以下2つの要素が大きな影響を与えます。

• 文字数
• 使う文字（大文字・小文字・数字・記号）の種類数

例えば、Webサービスにログインする際の認証で使うパスワードを考えられる全パターン試し、不正アクセスを試みるブルートフォース攻撃（総当たり攻撃）では、パスワードが短く単純であるほど不正アクセスされる可能性が高まります。パスフレーズは文字数が多く、アルファベット小文字の「l」を数字の「1」や記号の「!」に変えるなどの工夫をすることで、より強力になります。

なお、ブルートフォース攻撃の詳細は以下をご覧ください。
⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説

覚えやすい

覚えやすい点もメリットの一つです。例えば、ランダムな文字を組み合わせた「8!$C&.Xs|YnA」を記憶することは困難でしょう。一方、パスフレーズは複数の単語により成り立っており、自分が覚えやすいものを用いれば記憶に残りやすくすることが可能です。覚えやすければ、メモなどに残してそれが盗まれることが原因で不正アクセスされるリスクを減らせます。

パスフレーズにおける2つの注意点・デメリット

メリットがある一方で、パスフレーズには以下2つの注意点・デメリットがあります。

• 必ずしも安全ではない
• 文字数や空白の制限が存在する

順に解説します。

必ずしも安全ではない

パスフレーズを活用すれば、必ず安全なわけではありません。例えば、良く使う単語を利用したり少ない文字数の単語を組み合わせたりした場合、簡単に解読される危険性があります。また、パスフレーズを記載したメモを盗まれるなど、そもそも認証情報自体を悪意のある第三者に入手されれば、どんなに複雑なものを用いたとしても意味を成しません。

文字数や空白の制限が存在する

文字数や空白の制限が存在して、有効なパスフレーズを設定できないケースがあることも注意点・デメリットです。Webサービスなどによっては、文字数制限が存在してセキュリティ強度の高いパスフレーズを使えない場合があります。設定可能な文字数が少ない場合、パスフレーズは有効ではありません。

また、単語を区切る空白が使用できないケースもあるでしょう。空白が使えない場合には「-（ハイフン）」や「_（アンダーバー）」を活用するなど代替案の検討が必要です。

パスフレーズを設定するポイント

パスフレーズを設定する際のポイントは以下の通りです。

• 個人情報を入れない
• 良くあるフレーズにしない
• 4つ以上の単語を用いる
• 関連する単語を使わない
• 使い回しを避ける
• 大文字や小文字、数字などを混ぜる

ここからは、上記それぞれのポイントについて解説します。

個人情報を入れない

パスフレーズには自分の名前や生年月日などの個人情報を含めてはいけません。個人情報はサイバー攻撃者が容易に入手できてしまいます。特に、特定の企業・組織に属するユーザーを対象としたサイバー攻撃では危険性が高まります。自分とは関係ない単語やフレーズを活用しましょう。

良くあるフレーズにしない

良くあるフレーズにしないことも、セキュリティ強化に欠かせません。例えば「thank you very much」などの言葉をそのまま利用すると、解読されるリスクが高まります。また、有名な音楽や映画のフレーズは、攻撃者の推測プログラムに登録されているため避けましょう。
さらに「dog」や「inu」など多くの人が用いる可能性が高い単語は、おすすめできません。使いたい場合には「mokachan」など愛称を用いると良いでしょう。

パスフレーズは正しい文法で設定する必要がありません。珍しい単語を1個か2個程度混ぜると安全性が高まります。

4つ以上の単語を用いる

パスフレーズは、最低でも4つ以上の単語を用いることが重要です。また、単語の文字数が少なすぎるものは避けましょう。総文字数が少なければ少ないほど、サイバー攻撃の被害に遭うリスクが高まります。
一方で、余りにも長くし過ぎると記憶できなかったり、入力でミスして手間がかかったりするデメリットも存在します。自分の覚えやすさや入力の手間と、セキュリティ強度のバランスを鑑みた設定が重要です。

関連する単語を使わない

関連する単語の使用も避けましょう。関連する単語を用いたものとは、例えば以下が該当します。

• Tokyo Osaka Nagoya Hakata
• banana mikan ringo nashi

関連性のないランダムな単語の活用が欠かせません。

使い回しを避ける

パスフレーズの使い回しは避けましょう。さまざまなサービスやアプリで同じものを用いた場合、漏洩した際に被害が拡大する恐れがあります。アプリやサービスごとに異なるものを設定することで、リスク分散が期待できます。

大文字や小文字、数字などを混ぜる

アルファベットの大文字・小文字や数字、記号を混ぜることにより、複雑さが増しセキュリティ強度を高められます。例えば、アルファベット小文字の「i」を数字の「1」や記号の「!」に変えたり、単語の後に「@」を入れたりすると良いでしょう。また「A」の代わりに「4」を活用するなど、通常とは異なる変換を行うとより強度の高いパスフレーズを設定可能です。

パスフレーズと併用がおすすめなセキュリティ対策

最後に、パスフレーズと併用がおすすめな以下3つのセキュリティ対策を紹介します。

• 多要素認証
• 二段階認証
• シングルサインオン

多要素認証

多要素認証（MFA）とは、本人認証において知識認証や所有物認証、生体認証など性質の異なる複数の要素を利用する方式のことです。例えば、ユーザーIDとパスフレーズの入力に加えて、指紋認証を実施する方式が該当します。多要素認証を活用すれば、認証情報を盗まれたとしても不正アクセスされにくくなります。

なお、MFAの詳細は以下をご覧ください。
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説

二段階認証

二段階認証とは、本人確認を2回に分けて実施する方法のことです。多要素認証は異なる性質の認証を実施することによりセキュリティ強度を高めますが、二段階認証では認証プロセスの回数を増やしセキュリティを強化します。例えば、ID・パスワードとPINコードによる二段階認証であれば、指紋読み取りなどの外部機器が不要で比較的容易に導入可能です。

なお、二段階認証の詳細は以下をご覧ください。
⇒二段階認証とは？認証方法やメリット・デメリット、注意点を解説

シングルサインオン

シングルサインオン（SSO）とは、一回の認証で多数のシステムやクラウドサービスなどにアクセスできる仕組みのことです。システムやアプリごとに認証情報を入力する必要がなく、手間の軽減につながります。また、ユーザーは複数のパスフレーズを記憶する必要もありません。

なお、シングルサインオンの詳細は以下をご覧ください。
⇒シングルサインオン（SSO）とは？認証方式の種類やメリット・デメリット、導入の流れを解説

まとめ

パスフレーズとは、複数かつ無作為な単語で構成されたパスワードのことです。従来のパスワードと比較して文字数が多いためセキュリティ強度が高く、覚えやすい特徴があります。AIなど最新テクノロジーの進歩により、従来のパスワードは短時間で解読されるリスクがあり注目を集めています。

ただ、パスフレーズを活用したからといって必ずしも安全なわけではありません。パスフレーズを設定する際には、関連性の低い4つ以上の単語を用いるとともに、使い回しを避けるなどの工夫が重要です。また、パスフレーズ自体が盗まれれば簡単に不正アクセスされるため、厳重な管理も欠かせません。

近年は、プライバシー保護に関する注目が高まっており、企業が保有する個人情報が漏洩すれば信用やブランドイメージが低下する恐れがあります。ただ、パスフレーズを活用したとしても昨今の高度なサイバー攻撃を100％防ぐことは困難です。情報漏洩を未然に防ぐ対策を行うとともに、発生した際早期に発見して対策を打てる体制の整備が求められます。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！