パスワード管理の実践 — ランダム生成・マネージャー・パスキー

パスワード管理とは：長さ・使い回し・復旧を一緒に考える

パスワードマネージャーを使ってサービスごとに異なる長い秘密を生成し、対応するサービスではパスキーを利用することが基本です。メールと管理者アカウントから優先します。「この文字数なら何年も破られない」という測定条件のない数字は判断根拠にしません。

このページは個人、情シス、認証機能の開発者向けです。利用者が選ぶ秘密、サービスが守る保存方式、端末紛失時の復旧を分けて確認します。

• 生成

  長くランダムに、サービスごとに一意にする。

• 保管

  マネージャー自体の認証・端末・共有権限も守る。

• 復旧

  端末紛失や管理者不在でも、正規の手段で戻れるか確かめる。

NIST SP 800-63B-4：15文字と8文字の適用範囲

2025年確定版のNIST SP 800-63B-4は、認証サービスを提供する側への要件です。日本のすべてのサービスへ直接適用される法的義務ではありません。

要件の対象	指針	利用者・管理者が確認すること
単一要素として使うパスワード	最低15文字	サービスが許す範囲で長く一意にする
MFAの一部としてのみ使うパスワード	短くできるが最低8文字	MFAの方式・例外・復旧経路も評価する
定期変更	理由なく強制しない	侵害の証拠がある場合は変更が必要
文字種の組合せ	大文字・記号等の一律強制をしない	長さ、漏えい候補の拒否、試行制限を重視する

8文字は「MFAさえあれば短い秘密で十分」という推奨ではありません。本人が作りやすい文字列や使い回しは避けます。文書に載った例文や有名なパスフレーズを、そのまま実際の秘密に使わないでください。

パスワードマネージャーを選ぶ確認項目

料金・無料枠・製品仕様は変わるため、固定の比較表ではなく以下を公式資料で照合します。特定製品を一律に推奨するものではありません。

• 利用する端末・ブラウザに対応するか。
• マネージャー自体にMFAやパスキーを設定できるか。
• 個人・家族・組織の共有範囲と管理者権限が明確か。
• マスターパスワード紛失、端末紛失、退職時の復旧・移管手段があるか。
• エクスポートやバックアップを平文で放置しない運用ができるか。
• 同期、データ保管、契約・組織ポリシーに適合するか。

復旧の可否は製品・設定で異なります。「ゼロ知識なら必ず復旧不能」とは断定しません。復旧コードや緊急用資料は、それ自体が秘密であるため閲覧者を限定します。

まず実施するチェックリスト

1. 重要なメール、マネージャー、金融・管理者アカウントを一覧にする。
2. 使い回しをやめ、長くランダムな秘密を個別に生成する。
3. マネージャーの自動入力先が正規のサービスか確認する。
4. 対応するサービスでMFAまたはパスキーを設定し、予備の復旧経路を確認する。
5. 古い端末や共有相手、復旧メール、不要なログイン済みセッションを見直す。

本物のパスワードをサイト内ツールや問い合わせ欄へ入力しないでください。学習には架空の値を使います。

漏えい確認：メール検索とパスワード検索は違う

Have I Been Pwnedの公式API資料では、メールアドレスを直接渡す検索と、ハッシュの一部を使う方式を区別しています。通常のメールアドレス検索では、検索先へアドレスが伝わります。

Pwned Passwordsのrange APIは、パスワードのハッシュの先頭部分を使う別の仕組みです。この性質をメール検索全般へ当てはめないでください。組織の情報を外部へ送る場合は、規程と利用条件を確認します。

結果が見つからなくても「一度も漏れていない」「侵害されていない」とは証明できません。ログイン通知や不審な操作も合わせて確認します。

漏えいが疑われたときの初動

パスワード漏えい時の初動対応に沿い、安全な端末と公式の入口から変更します。使い回し先、セッション、復旧設定、連携アプリへの影響も調べます。端末が感染している疑いがある場合は、その端末で新しい秘密を入力せず担当窓口へ相談してください。

記録は対象サービス、確認時刻、通知内容、変更・失効、未確認事項です。秘密の値は記録しません。

パスキーへ移行しても残る確認

パスキーには同期型とデバイス固定型があります。同期型は、保護された仕組みで複数端末へ同期され得るため「すべての秘密鍵が絶対に1台から出ない」とは言えません。認証のフィッシング耐性と、同期アカウント・端末・復旧経路の保護は別に確認します。

パスキー導入時の運用ポイントとMFAの基礎へ進み、端末紛失時に戻れることも含めて移行してください。