パスフレーズとパスワードの違い｜覚えやすく強い作り方を解説

パスフレーズとは、複数の単語をつなげて作る長いパスワードのことです。通常のパスワードが「短く複雑な文字列」を目指すのに対し、パスフレーズは「長いけれど覚えやすい文字列」を目指します。両者は対立する概念ではなく、パスフレーズはパスワードの作り方の一種です。とくに、パスワードマネージャーのマスターパスワードのように暗記が必要な場面で威力を発揮します。この記事では違いと、なぜパスフレーズが強くて覚えやすいのかを、数値を交えて説明します。実際に生成する場合はパスワード生成ツールも活用できます。

パスフレーズとパスワードの違い

各サイトのパスワードは覚える必要がないため、ツールで生成した複雑な文字列をマネージャーに保存すれば十分です。一方、マネージャー自体を開く鍵は暗記が必要なので、パスフレーズが適しています。

なぜパスフレーズは強いのか（ビットで理解する）

パスフレーズの強さは、単語をランダムに選ぶことから生まれます。あらかじめ決めた単語リストから、乱数で単語を選ぶ方式（Dicewareと呼ばれます）を考えます。リストの単語数が多いほど、1単語あたりの選択肢が増え、強度が上がります。

たとえば7,776語のリストから1語をランダムに選ぶと、その1語がもたらす強度（エントロピー）は約12.9ビットです。これを複数並べると、ビットは単純に足し算で積み上がります。

重要なのは、この強度が単語をランダムに選んだ場合の値であることです。自分で意味の通る文を考えると、文法や連想で予測されやすくなり、実際の強度は表よりずっと下がります。ビットの考え方はエントロピー・強度の測り方で詳しく解説しています。

強いパスフレーズの作り方

1. 単語をランダムに選びます。頭で考えず、乱数やツールに選ばせるのが要点です。
2. 4語では不足しがちなので、暗記できる範囲で5〜6語以上にします。
3. 単語どうしは意味がつながらない、無関係なものにします。物語や文章にしないことが強度を保つコツです。
4. サイトによっては数字や記号が必須なので、区切りにハイフンを入れる、数字を1つ加えるなど、要件に合わせて微調整します。

やってはいけないのは、ことわざ・歌詞・有名なセリフ・定型句を使うことです。これらは長くても攻撃者の辞書（フレーズ辞書）に載っているため、単語をランダムに選んだ場合のような強度は得られません。

日本語話者が気をつけること

• ローマ字化した日本語の単語も辞書攻撃の対象です。「sakura」「fujisan」のような語は英単語同様に狙われます。無関係な語をランダムに選ぶ原則は日本語ベースでも同じです。
• 多くのサービスは日本語（かな・漢字）そのものをパスワードに使えないか、文字数計算が複雑になります。ローマ字の単語を組み合わせる形が扱いやすいです。
• 単語数（＝ランダムに選んだ回数）が強度を決めます。1つの長い単語より、短くても複数の単語をランダムに並べるほうが強くなります。

結局どちらを使うべきか

使い分けが答えです。

• 各サイトのパスワード：覚えなくてよいので、生成ツールで作った12文字以上のランダム文字列をマネージャーに保存。
• 暗記が必要な鍵（マスターパスワード等）：ランダムに選んだ単語5〜6語以上のパスフレーズ。

覚えやすさと強度を両立できるのがパスフレーズの利点です。まずはマスターパスワードを、無関係な単語を並べた強いパスフレーズに作り直すことから始めてみてください。作り方の全体像は安全なパスワードの作り方にまとめています。