パスワード強度チェック
そのパスワードが何回の試行で破られるかを、辞書・キーボード配列・日付・繰り返しといった実際の攻撃パターンから推定します。文字の種類を数えるだけの判定とは違い、弱い理由をパターン単位で分解して表示します。入力内容は送信されません。
判定はすべてこのページ内で行われます。入力したパスワードが送信・保存・記録されることはありません。ページを閉じれば何も残りません。
—
解読にかかる推定時間
| 攻撃の想定 | 試行速度 | 推定時間 |
|---|
パターンの内訳
攻撃者から見て、このパスワードがどの単位に分解されるかです。「総当たり」以外の断片は、辞書や規則で先に試される部分です。
改善のヒント
例で試す
このツールの特長
攻撃者と同じ手順で数える
文字の種類がそろっているかではなく、辞書の単語・キーボードの並び・日付・繰り返しに分解し、最も少ない試行回数で破れる道筋を探します。その最小回数がそのまま判定になります。
どこが弱いのかを分解して表示
パスワードを断片ごとに並べ、それぞれが何として認識されたかを示します。「総当たり」と書かれていない断片は、攻撃者が辞書や規則で先に片付ける部分です。
入力は端末の外に出ません
判定に使う単語リストも計算もページの中にあり、通信は一切行いません。入力欄は送信フォームの外に置かれ、入力した文字は画面表示にしか使われません。
このツールが選ばれる理由
ブラウザ内で完結
すべてお使いの端末で処理されます。入力内容が送信・記録・販売されることはありません。
無料・登録不要
サインアップも課金もありません。ページを開けば何度でも使えます。
どの端末でも
スマホ・タブレット・PCのどのブラウザでも動作。インストール不要です。
使い方
- 手順 1
入力欄にパスワードを入力します。1文字ごとではなく手が止まったところで判定が走り、5段階の判定・推定試行回数・エントロピーのビット数が表示されます。肩越しに見られたくないときは「隠す」ボタンで伏せ字にできます。
- 手順 2
「パターンの内訳」を見ます。色が付いた断片は辞書の単語・よく使われるパスワード・キーボードの並び・日付・繰り返しとして認識された部分で、「大文字化」「記号への置き換え」「逆順」といった小細工も内訳に書き出されます。「総当たり」と書かれた断片だけが、攻撃者にとって本当に手間のかかる部分です。
- 手順 3
「解読にかかる推定時間」の4行を読み比べ、「改善のヒント」に沿って書き換えます。下の例のボタンを押すと、よくある作り方が実際にどう判定されるかをその場で確かめられます。
よくある質問
入力したパスワードは送信されますか。
いいえ。単語リストも計算もページの中に入っており、外部へのリクエストは一切ありません。入力欄はフォームの外に置かれ、入力内容は保存も記録もされません。気になる場合は、ページを開いたあと通信を切って試してください。同じように動きます。
なぜ P@ssw0rd2024 が「弱い」と判定されるのですか。
流出リストの上位にある password に a を @、o を 0 へ置き換え、西暦を足しただけの形だからです。この置き換えは攻撃ツールが標準で試す変換なので、ほとんど手間を増やしません。西暦も 1900 年以降のごく限られた候補しかありません。大文字・数字・記号がそろっていても試行回数は増えず、判定は文字種ではなく回数で決まります。
「推定試行回数」と「解読にかかる推定時間」はどう違うのですか。
試行回数はパスワードそのものの性質で、時間はそこに攻撃側の速度を掛けたものです。同じパスワードでも、回数制限のあるログイン画面を1時間に100回叩く相手なら何年も持ちこたえ、流出したデータをGPUで1秒に1000億回試す相手なら一瞬で落ちます。だからこの表では、想定を4つ並べて速度も一緒に書いています。
判定は甘めですか、辛めですか。
辛め（低め）に出ます。既知のパターンで安く説明できる読み方が見つかれば必ずそちらを採用するので、表示される回数は「これ以下では破れない」という下限ではなく、「うまい攻撃者ならこの回数で届く」という上限側の見積もりです。こちらの単語リストに載っていない語を使えば実際にはもっと持ちますが、安全側に倒すため、そのぶんは加点していません。
日本語のひらがなや漢字を使えば強くなりますか。
珍しい文字だから強い、とは限りません。日本人を狙う攻撃は日本語の単語リストを使うので、このツールも「さくら」「こんにちは」「日本」やよくある名字を1語として数えます。リストにない語の並びは1文字あたりの候補を控えめに見積もっていますが、頼りになるのはやはり長さと、語の組み合わせの意外さです。
どこまで強くすれば十分ですか。
5段階の表示は目安で、いちばん上に届いても安心とは限りません。確実なのは「解読にかかる推定時間」の一番下の行、つまりオフラインで高速に総当たりされる想定が年単位になるまで長くすることです。無関係な単語を4語以上つないだうえで、サービスごとに別のものを使うのが現実的な落としどころです。