เครื่องมือสร้างรหัสผ่าน

เอนโทรปีตามความยาวและชุดอักขระ

เอนโทรปีหมายถึงอะไรในทางปฏิบัติ

• 40 บิต: ปัจจุบันอาจถูกถอดรหัสได้ภายในไม่กี่วันด้วย GPU ตัวเดียว เหมาะแค่บัญชีชั่วคราว
• 60 บิต: ต้านทานการโจมตีออนไลน์ได้ แต่ยังเสี่ยงต่อการถอดรหัสแบบออฟไลน์เฉพาะทาง
• 80 บิต: แข็งแรงต่อการถอดรหัสแบบออฟไลน์ด้วยฮาร์ดแวร์ปัจจุบัน
• 100 บิต: แทบไม่คุ้มค่าที่จะโจมตีจนกว่าคอมพิวเตอร์ควอนตัมจะพร้อมใช้งานจริง
• 128 บิต: เทียบได้กับความแข็งแรงของกุญแจ AES-128

สำหรับบัญชีออนไลน์ส่วนใหญ่ รหัสผ่าน 16 อักขระจากชุดเต็ม (105 บิต) ก็เพียงพอมากแล้ว บัญชีธนาคาร รหัสผ่านหลักของตัวจัดการรหัสผ่าน กระเป๋าคริปโต และการเข้ารหัสดิสก์ทั้งลูกควรใช้ 20 อักขระขึ้นไป

ทำไมคลาสอักขระจึงสำคัญ

แต่ละคลาสเพิ่มตัวเลือกให้กับอักขระแต่ละตำแหน่ง หากใช้ตัวพิมพ์เล็ก 26 ตัว อักขระหนึ่งตัวให้ log₂(26) = 4.7 บิต เมื่อเพิ่มตัวพิมพ์ใหญ่ จะเป็น 52 ตัวและ 5.7 บิตต่ออักขระ เพิ่มตัวเลขจะเป็น 62 ตัวและ 5.95 บิต เพิ่มสัญลักษณ์จะเป็น 94 ตัวและ 6.55 บิต เมื่อยาว 16 อักขระ ความต่างนี้สะสมเป็นประมาณ 30 บิต ซึ่งคือความต่างระหว่าง “ถอดได้” กับ “ไม่คุ้มจะลอง”

เมื่อใดควรตัดอักขระที่สับสนง่าย

หากต้องพิมพ์รหัสผ่านจากหน้าจอไปยังอุปกรณ์ที่คัดลอกและวางไม่ได้ เช่น ตัวติดตั้งแบบคอนโซล กระเป๋าฮาร์ดแวร์บางรุ่น หรือกรณีต้องอ่านรหัสผ่านออกเสียง การตัด 0, O, 1, l และ I จะช่วยลดข้อผิดพลาดในการถอดความ ค่าเอนโทรปีที่เสียไปเล็กน้อย โดยมักอยู่ที่ 2-3 บิตจากมากกว่า 80 บิต

วิธีใช้ร่วมกับตัวจัดการรหัสผ่าน

1. ติดตั้งตัวจัดการรหัสผ่าน เช่น Bitwarden, 1Password หรือ KeePass
2. ตั้งวลีรหัสผ่านหลักที่แข็งแรงจากคำสุ่ม 6-8 คำ ใช้เครื่องมือสร้างวลีรหัสผ่านช่วยได้
3. ใช้ตัวสร้างรหัสผ่านในตัวจัดการสำหรับแต่ละเว็บไซต์ และใช้ค่าที่แข็งแรงตามค่าเริ่มต้น
4. อย่าใช้รหัสผ่านซ้ำข้ามเว็บไซต์ แม้กับบัญชีที่ดูเหมือนใช้ชั่วคราว
5. เปิด 2FA ในทุกบริการที่รองรับ

รหัสผ่านที่ต้องพิมพ์เองควรมีน้อยมาก เช่น รหัสผ่านหลักของตัวจัดการ การเข้ารหัสดิสก์ทั้งลูก และอาจรวมถึงการเข้าสู่ระบบคอมพิวเตอร์ที่ทำงาน

สิ่งที่ไม่ค่อยช่วย

• บังคับเปลี่ยนทุก 90 วัน การหมุนเวียนแบบบังคับทำให้เกิดรูปแบบที่คาดเดาได้ เช่น ฤดูร้อน2024 เป็น ฤดูใบไม้ร่วง2024 แนวทาง NIST SP 800-63B ระบุชัดว่าไม่ควรทำ
• เขียนใส่กระดาษไว้ในกระเป๋าสตางค์ ปลอดภัยกว่าการใช้รหัสผ่านอ่อนซ้ำ แต่ยังแย่กว่าการใช้ตัวจัดการรหัสผ่าน
• คำถามความปลอดภัยที่ตอบตามจริง “โรงเรียนแรก” มักค้นหาเจอได้ง่าย สร้างคำตอบปลอมแบบสุ่มและเก็บไว้ในตัวจัดการรหัสผ่าน