パスフレーズ

パスフレーズは、コンピュータシステム、プログラム、またはデータへのアクセスを制御するために使用される一連の単語またはその他のテキストです。使用方法はパスワードに似ていますが、パスフレーズはセキュリティを強化するために一般的に長くなります。パスフレーズは、特にパスフレーズから暗号化キーを派生する暗号化プログラムとシステムへのアクセスと操作の両方を制御するためによく使用されます。この用語の起源は、パスワードとの類似性です。パスフレーズの現代的な概念は、1982年にSigmund N. Porterによって発明されたと考えられています。^[1]

英語のエントロピーは1文字あたり1.1ビット未満であることを考慮すると、 ^[3]パスフレーズは比較的弱い可能性があります。NISTは、23文字のパスフレーズ「IamtheCapitanofthePina4」には45ビットの強度が含まれていると推定しています。ここで使用される式は次のとおりです。^[4]

4 ビット (1 番目の文字) + 14 ビット (2 番目から 8 番目の文字) + 18 ビット (9 番目から 20 番目の文字) + 3 ビット (21 番目から 23 番目の文字) + 6 ビット (大文字、小文字、英数字のボーナス) = 45 ビット

(この計算では、これがオペレッタ「HMS ピナフォア」からの有名な引用であることは考慮されていません。このパスフレーズのMD5ハッシュは crackstation.net を使用して 4 秒で解読できます。これは、このフレーズがパスワード クラッキング データベースに存在することを示しています。)

このガイドラインを使用すると、 NISTが高セキュリティ (非軍事) に推奨する 80 ビットの強度を達成するには、大文字と英数字を含む構成を前提として、パスフレーズは 58 文字の長さにする必要があります。

この式の適用性については、割り当てられたエントロピーのビット数に応じて議論の余地があります。たとえば、5文字の単語の文字にはそれぞれ2.3ビットのエントロピーが含まれており、80ビットの強度を達成するには35文字のパスフレーズのみが必要であることを意味します。^[5]

パスフレーズの単語または構成要素が言語辞書、特にソフトウェア プログラムへの電子入力として利用できる辞書に記載されている場合、パスフレーズは辞書攻撃に対してより脆弱になります。フレーズ全体が引用集またはフレーズ集に記載されている場合は特に問題になります。ただし、パスフレーズに十分な単語が含まれており、パスフレーズ内で単語がランダムに選択され順序付けられている場合は、必要な労力 (時間とコスト) が非現実的なほど高くなる可能性があります。十分な条件下でテストする必要がある組み合わせの数を考えると、辞書攻撃は非常に困難で実行不可能です。これらは満たすのが難しい条件であり、どの辞書にも記載されていない単語を少なくとも 1 つ選択すると、パスフレーズの強度が大幅に高まります。

パスフレーズが人間によって選択される場合、通常、自然言語における特定の単語の頻度によって偏りが生じます。4単語のフレーズの場合、実際のエントロピーが30ビットを超えることはほとんどありません。一方、ユーザーが選択したパスワードはそれよりもはるかに弱い傾向があり、ユーザーに2単語のパスフレーズの使用を奨励することで、エントロピーを10ビット未満から20ビット以上に上げることができる可能性があります。^[6]

たとえば、広く使用されている暗号化標準OpenPGP では、メッセージを復号化または署名するたびに入力しなければならないパスフレーズをユーザーが作成する必要があります。Hushmail などのインターネット サービスは、暗号化された電子メールやファイル共有サービスを無料で提供していますが、セキュリティは選択したパスフレーズの品質にほぼ完全に依存します。

パスフレーズはパスワードとは異なります。パスワードは通常 6 文字から 10 文字の短いものです。このようなパスワードは、頻繁に変更され、適切なポリシーを使用して選択され、辞書に載っておらず、十分にランダムであり、システムがオンラインでの推測を防止している場合など、さまざまなアプリケーションに適しています。^{[引用が必要]}、例:

• コンピュータシステムへのログオン
• パスワード認証による鍵合意などの対話型設定で鍵をネゴシエートする
• パスワードデータが（うまくいけば）抽出されないATMカードのスマートカードまたはPINを有効にする

しかし、パスワードは通常、データを公開して攻撃者がオフラインでパスワードを推測できるようにする暗号化システムなどのスタンドアロンのセキュリティシステムのキーとして使用するのは安全ではありません。 ^[7]パスフレーズは理論的にはより強力であるため、このような場合にはより良い選択となるはずです。まず、パスフレーズは通常はるかに長く、常に長くする必要があります (20 ～ 30 文字以上が一般的)。そのため、一部の種類のブルート フォース攻撃はまったく実行不可能になります。次に、適切に選択すれば、フレーズや引用の辞書に見つからないため、このような辞書攻撃はほぼ不可能になります。最後に、パスフレーズは書き留めなくてもパスワードよりも覚えやすいように構成できるため、ハードコピーの盗難のリスクが軽減されます。ただし、パスフレーズが認証子によって適切に保護されず、クリア テキストのパスフレーズが明らかになった場合、その使用は他のパスワードよりも優れています。このため、パスフレーズを異なるサイトやサービス間で再利用しないことをお勧めします。

2012年、ケンブリッジ大学の2人の研究者がAmazon PayPhraseシステムのパスフレーズを分析し、映画名やスポーツチーム名などの一般的な文化的参照のためにかなりの割合が推測しやすく、長いパスワードを使用する可能性が大幅に失われていることを発見しました。^[8]

暗号化で使用される場合、通常、パスフレーズは長いマシン生成キーを保護し、キーはデータを保護します。キーが非常に長いため、データへのブルート フォース攻撃は直接実行できません。キー導出関数が使用され、何千回もの反復処理 (ソルト化とハッシュ化) が行われ、パスワード クラッキング攻撃 が遅くなります。

パスフレーズの選択に関する一般的なアドバイスには、次のようなものがある: ^[9]

• 推測しにくいほど長い
• 文学や聖書などからの有名な引用ではない
• ユーザーをよく知っている人でも直感で推測するのは難しい
• 覚えやすく、正確に入力できる
• セキュリティを強化するために、ユーザー独自のレベルで簡単に覚えられるエンコードを適用できます。
• サイト、アプリケーション、その他のさまざまなソース間で再利用されない

強力なパスフレーズを作成する方法の 1 つは、サイコロを使って長いリストから単語をランダムに選択することです。この手法は、しばしばダイスウェアと呼ばれます。このような単語の集まりは「辞書に載っていない」という規則に違反しているように見えるかもしれませんが、セキュリティは単語のリストから選択できる方法の多さに完全に基づいており、単語自体の秘密には基づいていません。たとえば、リストに 7776 個の単語があり、6 個の単語がランダムに選択された場合、組み合わせは7,776 ⁶  = 221,073,919,720,733,357,899,776通りとなり、約 78 ビットのエントロピーが提供されます。( 7776という数字は、サイコロを 5 個投げて単語を選択できるようにするために選択されました。7776 = 6 ⁵ )。ランダムな単語シーケンスは、メモリ パレスなどの手法を使用して記憶できます。

もう 1 つは、2 つのフレーズを選択し、1 つを頭字語にして2 つ目に含め、最終的なパスフレーズを作ることです。たとえば、2 つの英語のタイピング演習を使用すると、次のようになります。The quick brown fox jumps over the lazy dogはtqbfjotldになります。これをNow is the time for all good men to come to the aid of their countryに含めると、パスフレーズとしてNow is the time for all good tqbfjotld to come to the aid of their countryが作成されます。

ここで注意すべき点がいくつかありますが、すべてこの例のパスフレーズが適切ではない理由に関連しています。

• それは公に現れたので、誰もが避けるべきです。
• 長い（理論的にはかなりの利点）ため、長いフレーズでは入力ミスが発生する可能性が高くなるため、優れたタイピストが必要です。
• コンピューター セキュリティの解読に真剣に取り組んでいる個人や組織は、最も一般的な引用や歌詞などからこのようにして導き出されたパスワードのリストを作成しています。

PGPパスフレーズ FAQ ^{[10]では、この例よりも理論的なセキュリティと実用性のバランスをうまく取ろうとする手順が提案されています。パスフレーズを選択するすべての手順では}、セキュリティと使いやすさのトレードオフが伴います。セキュリティは少なくとも「適切」であるべきであり、ユーザーを「過度に」煩わせるべきではありません。両方の基準は、特定の状況に合わせて評価する必要があります。

ブルートフォース攻撃を阻止するためのもう 1 つの補足的なアプローチは、 RFC 2898 で説明されている PBKDF2などの意図的に遅いハッシュ関数を使用してパスフレーズからキーを導出することです。

Microsoft LAN Managerとの下位互換性が必要ない場合、Windows NTのバージョン( Windows 2000、Windows XP以降を含む) では、パスフレーズを Windows パスワードの代わりに使用できます。パスフレーズが 14 文字を超える場合、非常に弱いLM ハッシュの生成も回避されます。

Linux、OpenBSD、NetBSD、Solaris、FreeBSDなどのUnix系オペレーティングシステムの最近のバージョンでは、最大255文字のパスフレーズを使用できます。^{[引用が必要]}

• キーファイル
• パスワードベースの暗号化
• パスワード心理学

• ダイスウェアページ
• xkcd パスワード強度の一般的な概念の説明