パスワードは8文字で足りるのか現行基準で考える安全な見直し方

新しく設定するパスワードを8文字に留める理由はありません。パスワードだけでログインするなら15文字以上を一つの基準にし、可能であれば16文字以上の固有パスワードを使った方が良いです。

ただし、長いパスワードを一つ作って使い回すのは避けます。長さ、サービスごとの固有性、多要素認証を組み合わせて考えてください。

8文字の最低条件と安全性は別に考える

サービスが「8文字以上」と表示していても、それは入力を受け付ける最低条件であり、安全を保証する文字数ではありません。名前や単語、年号を組み合わせた8文字は、条件を満たしても推測されやすい場合があります。

NIST SP 800-63Bは、パスワードを単独の認証要素として使う場合に最低15文字を求めています。多要素認証の一部として使う場合は最低8文字を許容しますが、8文字を十分な強度と認定しているわけではありません。現行の要件はNISTのパスワード基準で確認できます。

CISAのパスワードに関する案内は、利用者向けに16文字以上を推奨しています。新しく作るなら、15文字と16文字の差で迷うより、サービスが許す範囲で16文字以上にする方が分かりやすいかと思います。

記号を増やすより長さと固有性を優先する

8文字へ複数の文字種を詰め込んでも、よくある置き換え方なら推測される可能性があります。Passwordの一部を数字や記号へ変える方法や、末尾の年だけ毎年変える方法は避けます。

パスワードマネージャーを使えるなら、パスワード生成ツールで16文字以上のランダムな文字列を作り、サービスごとに別の値を保存します。自分で覚える必要があるものは、複数の無関係な単語を組み合わせた長いパスフレーズも選択肢です。

重要なのは、同じ長いパスワードを別のサービスへ使わないことです。一つのサービスから認証情報が漏れた場合に、他のアカウントまで試される可能性があります。

重要なアカウントから順に変更する

すべてを一度に変えると、保存漏れや回復手段の不足で自分がログインできなくなることがあります。影響が大きいものから、一つずつ変更した方が安全です。

1. メールアカウントとパスワードマネージャーを変更する
2. 銀行、決済、仕事の管理者アカウントを変更する
3. 同じ8文字を使い回しているサービスを変更する
4. その他のサービスを順に変更する

変更する前に、回復用メールと多要素認証へアクセスできることを確認します。新しいパスワードで一度ログインし、保存できたことを確かめてから次へ進んでください。

8文字しか設定できない場合は別の対策を足す

古いサービスでは、最大8文字など短い上限が残っている場合があります。その場合は、使える文字の範囲でランダムな固有パスワードを作り、他のサービスへ使い回しません。

多要素認証を利用できるなら必ず追加します。それでも重要情報を扱うサービスとして十分かは別の判断です。代替サービスがあるなら移行も検討してください。

多要素認証の選び方は二段階認証の設定方法、長い値を管理する方法はパスワードマネージャーの選び方で確認できます。

まず、最も重要なメールアカウントを一つ選んでください。回復手段を確認したうえで、16文字以上の固有パスワードへ変更し、パスワードマネージャーへ保存するところから始めます。