パスワード強度チェッカーとエントロピー推定ツール

パスワードエントロピーの暗号数学: なぜ長さが複雑さを上回るのか

何十年もの間、企業の IT ポリシーにより、従業員は大文字、数字、特殊記号を任意に組み合わせた扱いにくく覚えられないパスワードを作成することが強制され、90 日ごとのローテーションが義務付けられてきました。最新の計算暗号と国立標準技術研究所 (NIST) による実証研究により、このパラダイムは時代遅れであるだけでなく、アカウントのセキュリティを積極的に低下させることが証明されています。

クロード・シャノンの情報エントロピー公式 ($H = L \log_2 N$)

情報理論では、秘密の基本的な強度は次のように定量化されます。エントロピーのビット($H$)、数学者のクロード・シャノンにちなんで命名されました。ランダムに選択された文字列の生のエントロピーは、次の式で決定されます。

合計の組み合わせは $N^L$ にスケールされるため、長さ ($L$) は指数として機能します, 一方、プール サイズ ($N$) は単なるベースです。パスワードに 4 文字を追加するだけで、「a」を「@」に置き換えたり、「e」を「3」に置き換えたりする場合よりも、総当たり検索スペースが数桁拡張されます。

NIST 特別出版物 800-63B: 最新のデジタル ID 標準

でNIST SP 800-63B (デジタル ID ガイドライン: 認証とライフサイクル管理)、連邦セキュリティ研究者は、従来の企業パスワードの定説を組織的に解体しました。

• 定期有効期限の廃止：ユーザーに 30 ～ 90 日ごとのパスワード変更を強制すると、予測可能な増分変更が発生します (例:Winter2025!なるSpring2026!）。パスワードは、侵害の証拠が存在する場合にのみ変更する必要があります。
• 構成ルールの廃止:大文字、小文字、数字、記号の特定の組み合わせを義務付けると、ユーザーは予測可能な構造パターンを採用するようになります (最初の文字を大文字にし、末尾に感嘆符と年を追加するなど)。
• ブラックリスト スクリーニング (侵害された認証情報の監査):システムは、任意の複雑さのルールを強制するのではなく、侵害された資格情報、一般的な辞書用語、および反復シーケンスのリストに照らして新しいパスワードをスクリーニングする必要があります。

Diceware パスフレーズ アーキテクチャ: 使いやすさと暗号強度の融合

1995 年にアーノルド ラインホルトによって最初に発明されました。サイコロウェアこのメソッドは、物理的な 6 面のサイコロを転がして 7,776 語の辞書からランダムな単語を選択することによってパスフレーズを生成します ($6^5 = 7,776$)。

各単語はおおよその情報を提供するため、12.9 ビットのエントロピー($log_2(7776) 約 12.92$)、4 単語のパスフレーズはおよそ52 ビットの純粋なエントロピー、5 単語のパスフレーズは次のことを実現します。65ビット。人間は、次のような鮮やかな物語のフレーズを難なく記憶できます。crystal-falcon-harbor-orbit一方、攻撃者のオフライン クラッキング クラスターは、辞書の順列にわたる何十億もの組み合わせを使い果たさなければなりません。

最新の攻撃者がどのようにハッシュを解読するか: マスク攻撃とメモリハード KDF

現実世界の攻撃者は、ログイン フォーム上でパスワードを 1 文字ずつ総当たり攻撃することはほとんどありません。レート制限、Web アプリケーション ファイアウォール (WAF)、および CAPTCHA は、数回の試行後にオンライン攻撃を阻止します。代わりに、パスワードクラッキングの99%はオフラインで発生攻撃者がアプリケーションのデータベースに侵入し、保存されているパスワード ハッシュを漏洩した後。

のようなツールハッシュキャットそしてジョン・ザ・リッパーコンシューマー向け GPU (NVIDIA GeForce RTX 4090 など) の大規模なクラスターを利用して、1 秒あたり数十億の候補ハッシュを計算します。