パスワードの「長さ vs 複雑さ」論争に終止符——エントロピーで正しく理解しよう

長さと複雑さ、どちらが「強さ」に貢献するか

パスワードの強さを測る指標が「エントロピー」だよ。ビット数が高いほど解読に時間がかかる。エントロピーは次の式で計算できる。

エントロピー = log₂(文字種数) × 文字数

文字種数の影響（複雑さ）

長さの影響

10文字 × 6.6ビット = 66ビット 20文字 × 6.6ビット = 132ビット

10文字増えると2倍ではなく、解読試行数は2の66乗倍（天文学的な差）になるよ。

直接比較してみよう

「P@ssw0rd」は記号と数字が入っていても8文字しかないから、25文字のパスフレーズより圧倒的に弱いね。

NISTの最新見解

NIST SP 800-63Bでは2017年改訂以降、以下を推奨しているよ。

• 最低8文字以上を必須とする（推奨は16文字以上）
• 複雑さルールを強制しない（記号必須などは不要）
• 定期変更を強制しない（漏洩が確認されたときのみ変更）
• 辞書チェックと漏洩リストチェックの方が有効

結論：長さ優先、複雑さは追加ボーナス

実践的な優先順位はこうなるよ。

1. 16文字以上を目標にする（最優先）
2. 完全にランダムな文字を使う（辞書単語NG）
3. 可能なら複数の文字種を含める（追加効果あり）
4. パスワードマネージャーで管理して使い回さない

複雑さのルールに縛られて短くするより、長くてランダムな文字列の方が数学的に強いよ。このことを覚えておこう。