เครื่องสร้างรหัสผ่าน

วิธีสร้างรหัสผ่านที่แข็งแกร่งอย่างแท้จริง

พวกเราส่วนใหญ่เรียนรู้เรื่องรหัสผ่านมาอย่างผิดๆ เราถูกสอนให้แทน "a" ด้วย "@" ต่อท้ายด้วยเครื่องหมายอัศเจรีย์ และพิมพ์ตัวแรกเป็นตัวพิมพ์ใหญ่แล้วเรียกว่าปลอดภัย แต่ปัญหาคือผู้โจมตีก็รู้เทคนิคเหล่านั้นด้วยเช่นกัน รหัสผ่านอย่าง "P@ssw0rd!" ดูซับซ้อนสำหรับมนุษย์แต่ง่ายมากสำหรับโปรแกรมถอดรหัส สิ่งที่ปกป้องบัญชีได้จริงไม่ใช่ความฉลาด แต่คือความยาว ความสุ่ม และวินัยง่ายๆ ในการไม่ใช้รหัสผ่านเดิมซ้ำกันสองครั้ง

หน้านี้สร้างรหัสผ่านในเบราว์เซอร์ของคุณโดยตรง คุณเลือกความยาวและประเภทตัวอักษรที่ต้องการ แล้วเครื่องมือจะสร้างสตริงสุ่มใหม่ทันที ไม่มีสิ่งใดที่คุณสร้างถูกส่งออกไป บันทึก หรือเก็บไว้ที่ใดเลย ด้านล่างนี้คือเหตุผลที่ค่าเริ่มต้นถูกกำหนดไว้อย่างที่เห็น และวิธีใช้งานให้ได้ประโยชน์สูงสุด

ความยาวและ Entropy เอาชนะกฎความซับซ้อน

รหัสผ่านทุกตัวมีปริมาณความคาดเดาไม่ได้ที่วัดได้ ซึ่งผู้เชี่ยวชาญด้านความปลอดภัยเรียกว่า Entropy ยิ่ง Entropy มาก ผู้โจมตีก็ยิ่งต้องเดามากขึ้นก่อนจะทายรหัสผ่านของคุณได้ถูก สองสิ่งที่เพิ่ม Entropy ได้แก่ จำนวนตัวอักษรที่เป็นไปได้ที่ใช้เลือก และจำนวนตัวอักษรที่นำมาต่อกัน โดยที่ความยาวมีผลมากกว่า การเพิ่มตัวอักษรอีกหนึ่งตัวจะทวีคูณจำนวนการผสมที่เป็นไปได้ ขณะที่การเพิ่มประเภทสัญลักษณ์อีกอย่างเพียงเพิ่มเล็กน้อยเท่านั้น

นั่นจึงเป็นเหตุที่รหัสผ่านสุ่ม 16 ตัวอักษรที่ประกอบด้วยตัวพิมพ์เล็กและตัวเลขนั้นยากกว่ารหัสผ่าน 8 ตัวอักษรที่เต็มไปด้วยสัญลักษณ์มาก คำแนะนำจากองค์กรอย่าง CISA และ National Cybersecurity Alliance ต่างลงมติที่ตัวเลขเดียวกันซ้ำแล้วซ้ำเล่า คือตั้งเป้าที่อย่างน้อย 16 ตัวอักษร ยิ่งยาวยิ่งดี หากเว็บไซต์อนุญาตให้ใช้ 20 ตัวขึ้นไปสำหรับบัญชีสำคัญ ก็ควรทำ เวลาพิมพ์ที่เพิ่มขึ้นเล็กน้อยแลกกับความทนทานต่อการโจมตีแบบ Brute Force ได้หลายปี

กฎความซับซ้อน ประเภทที่กำหนด "ต้องมีตัวพิมพ์ใหญ่หนึ่งตัว ตัวเลขหนึ่งตัว สัญลักษณ์หนึ่งตัว" มีไว้เป็นหลักเพื่อป้องกันไม่ให้คนเลือก "password123" กฎเหล่านี้ไม่ได้ทำให้สตริงสุ่มที่แท้จริงแข็งแกร่งขึ้นอย่างมีนัยสำคัญ รหัสผ่านสุ่มที่แท้จริงผ่านกฎเหล่านั้นได้โดยไม่ต้องพยายาม ดังนั้นเปิดใช้งานประเภทตัวอักษรสักสองสามอย่างเพื่อความเข้ากันได้กับฟอร์มล็อกอินที่จู้จี้ แล้วปล่อยให้ความยาวทำงานหนัก

วลีรหัสผ่าน: ยาว สุ่ม และจดจำได้

มีกรณีหนึ่งที่คุณต้องจำรหัสผ่านด้วยตัวเอง นั่นคือรหัสผ่านหลักสำหรับตัวจัดการรหัสผ่าน หรือล็อกอินเข้าคอมพิวเตอร์ สำหรับกรณีเหล่านั้น วลีรหัสผ่านทำงานได้ดีมาก เลือกคำที่ไม่เกี่ยวข้องกันสี่ถึงหกคำโดยสุ่ม ยิ่งฟังดูไม่สมเหตุสมผลยิ่งดี แล้วนำมาต่อกัน เช่น "copper-lantern-drizzle-walnut" มันยาว มี Entropy เพียงพอ และสมองของคุณสามารถจดจำได้

คำสำคัญคือ "สุ่ม" วลี "Correct horse battery staple" มีชื่อเสียงเพราะคำเหล่านั้นไม่มีความเชื่อมโยงทางตรรกะ วลีที่มาจากเนื้อเพลงหรือคำพูดที่โด่งดังไม่ใช่สิ่งสุ่มเลย เพราะผู้โจมตีก็ป้อนแหล่งข้อมูลเหล่านั้นเข้าไปในเครื่องมือเดาของตนพอดี สำหรับทุกอย่างอื่น คือบัญชีที่คุณล็อกอินปีละไม่กี่ครั้ง คุณไม่ควรต้องจำอะไรเลย นั่นเป็นงานของซอฟต์แวร์

ทำไมการใช้รหัสผ่านซ้ำถึงเป็นอันตรายที่แท้จริง

สถิติที่ควรเปลี่ยนวิธีคิดของคุณ: การรั่วไหลของข้อมูลส่วนใหญ่สืบเนื่องมาจากการใช้ข้อมูลรับรองที่ซ้ำกันหรืออ่อนแอ กลไกนี้โหดร้ายง่าย เว็บไซต์หนึ่งที่คุณสมัครสมาชิกเมื่อหลายปีก่อนถูกเจาะและรั่วฐานข้อมูลรหัสผ่าน ผู้โจมตีนำคู่อีเมลและรหัสผ่านเหล่านั้นไปลองใช้กับธนาคาร ผู้ให้บริการอีเมล และเว็บช้อปปิง โดยอัตโนมัติ นับล้านครั้ง สิ่งนี้เรียกว่า Credential Stuffing และมันได้ผลเพราะหลายคนใช้รหัสผ่านเดียวกันทุกที่

วิธีแก้คือใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับทุกบัญชี ทำเช่นนั้นแล้ว การรั่วไหลที่บริการหนึ่งจะถูกจำกัดอยู่แค่บริการนั้น แน่นอนว่าปัญหาคือไม่มีใครจำสตริงสุ่มร้อยอย่างต่างกันได้ ซึ่งนั่นคือปัญหาที่ตัวจัดการรหัสผ่านแก้ได้พอดี

ตัวจัดการรหัสผ่านและการล็อกสองชั้น

ตัวจัดการรหัสผ่านสร้างและเก็บรหัสผ่านสุ่มที่ไม่ซ้ำกันสำหรับแต่ละบัญชีของคุณ กรอกให้อัตโนมัติ และให้คุณจำเพียงรหัสผ่านหลักเพียงตัวเดียว เครื่องมืออย่าง Bitwarden, 1Password, Proton Pass และอื่นๆ เข้ารหัสห้องนิรภัยของคุณเพื่อให้แม้แต่บริษัทที่ดูแลก็ไม่อ่านล็อกอินของคุณได้ คุณได้รับความปลอดภัยของรหัสผ่านสุ่มยาวโดยไม่ต้องแบกรับภาระของความจำ สำหรับคนส่วนใหญ่ การนำมาใช้คือการอัปเกรดครั้งใหญ่ที่สุดที่ทำได้เพื่อความปลอดภัยออนไลน์

จับคู่กับการยืนยันตัวตนสองขั้นตอน มักแสดงเป็น 2FA บนทุกบัญชีที่รองรับ เมื่อเปิดใช้ 2FA แล้ว รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวไม่เพียงพอที่จะเข้าได้ เพราะผู้โจมตียังต้องการรหัสจากโทรศัพท์หรือกุญแจฮาร์ดแวร์ของคุณด้วย รหัสจากแอปและกุญแจความปลอดภัยทางกายภาพแข็งแกร่งกว่ารหัสทาง SMS แต่ปัจจัยที่สองใดๆ ก็ดีกว่าไม่มีเลย รหัสผ่านบวก 2FA คือการผสมที่ยากจะเอาชนะได้จริงๆ

ทำไมการสร้างในเบราว์เซอร์จึงปลอดภัย

เมื่อเครื่องมือนี้สร้างรหัสผ่าน มันทำงานทั้งหมดบนอุปกรณ์ของคุณโดยใช้ตัวสร้างเลขสุ่มแบบเข้ารหัสที่มีอยู่ในเบราว์เซอร์ ซึ่งเป็นแหล่งสุ่มที่ปลอดภัยประเภทเดียวกับที่ระบบปฏิบัติการใช้สำหรับกุญแจ ผลลัพธ์ไม่เคยออกจากเครื่องของคุณ ไม่มีการเรียกเซิร์ฟเวอร์ ไม่มีการส่ง Analytics ที่มีค่านั้น ไม่มีการเขียนลงบันทึก คุณยืนยันได้โดยเปิดหน้าเว็บ ปิดเครือข่าย แล้วสร้างรหัสผ่าน มันยังทำงานได้ เพราะทุกอย่างเกิดขึ้นในเครื่อง

สิ่งนี้สำคัญเพราะรหัสผ่านที่คุณต้องไว้ใจเซิร์ฟเวอร์ระยะไกลในการสร้างคือรหัสผ่านที่มีอยู่ชั่วคราวในที่ที่คุณไม่ควบคุม การสร้างในเครื่องลบขั้นตอนนั้นออกไปทั้งหมด คัดลอกรหัสผ่านใหม่ของคุณไปวางในตัวจัดการรหัสผ่านแล้วเสร็จ ขณะที่คุณอยู่ที่นี่ ลองดูเครื่องมือสร้างทั้งหมดของเรา หรือดึงตัวระบุสุ่มจากเครื่องมือสร้าง UUIDหากต้องการสำหรับงานพัฒนา

คำถามที่พบบ่อย