เครื่องตรวจสอบความแข็งแรงของรหัสผ่าน

คะแนนเช็กลิสต์ให้รางวัลกับอะไร

ผลตัดสินมาจากคะแนนง่าย ๆ ตั้งแต่ 0 ถึง 6 แต่ละข้อต่อไปนี้เพิ่ม 1 คะแนน:

ความยาวกินไปเอง 3 คะแนนจาก 6 คะแนน เพราะความยาวเป็นปัจจัยเดี่ยวที่สำคัญที่สุดต่อความแข็งแรงที่แท้จริง

เอนโทรปีและเวลาที่ใช้แคร็กประมาณอย่างไร

เอนโทรปีคือจำนวนบิตที่ต้องใช้อธิบายรหัสผ่านหากทุกอักขระเป็นแบบสุ่ม: length × log2(alphabet size) ขนาดชุดอักขระรวมประเภทที่คุณใช้: 26 สำหรับตัวพิมพ์เล็ก 26 สำหรับตัวพิมพ์ใหญ่ 10 สำหรับตัวเลข และ 33 สำหรับสัญลักษณ์ทั่วไป ดังนั้นรหัสผ่านที่ใช้ครบทั้งสี่ประเภทจึงดึงมาจากอักขระที่เป็นไปได้ 95 ตัว

ค่าประมาณเวลาที่ใช้แคร็กสมมติว่าผู้โจมตีแบบออฟไลน์มีค่าแฮชที่ขโมยมาแล้ว และสามารถลองเดาได้ประมาณ 1 หมื่นล้าน (10^10) ครั้งต่อวินาทีบน GPU ระดับผู้บริโภคที่รวดเร็ว ตัวเลขนี้ตรงกับแฮชที่อ่อนและเร็วอย่าง MD5 หรือ SHA-1 ส่วนแฮชที่ออกแบบให้ช้าโดยตั้งใจอย่าง bcrypt หรือ Argon2 จะลดอัตราดังกล่าวลงเป็นล้านเท่า รหัสผ่านเดียวกันจึงปลอดภัยกว่ามากในที่ที่ใช้แฮชเหล่านั้น

เครื่องมือนี้ตรวจอะไรและไม่ตรวจอะไร

• สิ่งที่ตรวจ ได้แก่ ความยาว ประเภทอักขระที่ปรากฏ เอนโทรปีดิบเป็นบิต และค่าประมาณเวลาที่ใช้แคร็กจากเอนโทรปีนั้น
• สิ่งที่ไม่ตรวจ คือ มันไม่เปรียบเทียบรหัสผ่านของคุณกับพจนานุกรม รายการรหัสผ่านที่รั่วไหล รูปแบบการไล่แป้นพิมพ์ (qwerty, 1qaz2wsx) หรือการแทนที่อักขระที่พบบ่อย (p@ssw0rd) รหัสผ่านอาจผ่านการตรวจประเภทอักขระทุกอย่างได้ แต่ก็ยังเดาง่ายมากหากมันเป็นคำที่รู้จักกันดีหรือเป็นรหัสผ่านที่รั่วไหลไปแล้ว

จงมองคะแนนเป็นเกณฑ์ขั้นต่ำ ไม่ใช่การรับประกัน มันบอกคุณได้ว่ารหัสผ่านสั้นเกินไปหรือง่ายเกินไป แต่คะแนนสูงไม่ได้พิสูจน์ว่ารหัสผ่านนั้นคาดเดาไม่ได้

อะไรที่ทำให้รหัสผ่านแข็งแรงจริง ๆ

1. ความยาวมาก่อน อักขระที่เพิ่มมาแต่ละตัวมีค่ามากกว่าการเปลี่ยนแปลงเดี่ยวอื่นใด รหัสผ่านสุ่ม 14 อักขระชนะรหัสผ่านซับซ้อน 8 อักขระเสมอ
2. ความสุ่ม คนเรามักคิดเอนโทรปีที่แย่ขึ้นมาในหัว ปล่อยให้เครื่องกำเนิดเป็นคนเลือกอักขระ
3. กระจายความหลากหลาย วางตัวเลขและสัญลักษณ์ไว้ที่ไหนก็ได้ ไม่ใช่แค่ต่อท้ายตรงจุดที่ผู้แคร็กคาดไว้
4. หนึ่งรหัสผ่านต่อหนึ่งเว็บไซต์ รหัสผ่านที่แข็งแรงแต่นำไปใช้ซ้ำใน 50 บัญชี จะปลอดภัยได้เท่ากับเว็บไซต์ที่อ่อนแอที่สุดที่จัดเก็บมันไว้เท่านั้น

คำแนะนำที่ปลอดภัย

• ใช้โปรแกรมจัดการรหัสผ่าน เพื่อสร้างและจัดเก็บรหัสผ่านสุ่ม 16 อักขระขึ้นไปที่ไม่ซ้ำกันสำหรับทุกเว็บไซต์
• ใช้พาสเฟรส ที่ประกอบด้วยคำสุ่ม 5 ถึง 8 คำ สำหรับรหัสผ่านไม่กี่ตัวที่คุณต้องพิมพ์เองด้วยมือ เช่น รหัสผ่านหลักของโปรแกรมจัดการรหัสผ่าน
• เปิดการยืนยันตัวตนสองขั้นตอน (2FA) ในทุกที่ที่มีให้ใช้
• ตรวจสอบที่ pwnedpasswords.com ก่อนที่จะใช้รหัสผ่านใดซ้ำต่อไป เพราะเครื่องมือนี้ไม่สามารถรู้ได้ว่ารหัสผ่านของคุณรั่วไหลไปแล้วหรือยัง