Γεννήτρια κωδικών πρόσβασης

Το αμερικανικό Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας (NIST) ξαναέγραψε τις οδηγίες του για τους κωδικούς πρόσβασης στο SP 800-63B και τις αυστηροποίησε ξανά στην αναθεώρηση 4, που δημοσιεύθηκε το 2024. Η βασική συμβουλή του έρχεται σε αντίθεση με τους παλιούς εταιρικούς κανόνες: οι υπηρεσίες πρέπει να δέχονται κωδικούς τουλάχιστον 64 χαρακτήρων, να μην επιβάλλουν συνδυασμό κεφαλαίων, ψηφίων και συμβόλων, να μην ζητούν από τους χρήστες να αλλάζουν κωδικό σε τακτά διαστήματα και, αντίθετα, να ελέγχουν τους νέους κωδικούς με βάση λίστες παραβιασμένων και συνηθισμένων κωδικών.

Η λογική είναι αριθμητική. Οι κανόνες σύνθεσης οδηγούν τους χρήστες σε προβλέψιμα μοτίβα όπως το «Summer2024!», που οι επιτιθέμενοι δοκιμάζουν πρώτα. Αντίθετα, κάθε επιπλέον τυχαίος χαρακτήρας πολλαπλασιάζει τον κόπο μιας επίθεσης brute force επί το μέγεθος του συνόλου χαρακτήρων. Η αύξηση από 12 σε 16 τυχαίους χαρακτήρες από τα 94 εκτυπώσιμα σύμβολα ASCII προσθέτει περίπου 26 bit, κάνοντας την εικασία περίπου 78 εκατομμύρια φορές δυσκολότερη.

Η εντροπία μετρά πόσους εξίσου πιθανούς κωδικούς θα μπορούσε να έχει παραγάγει η γεννήτρια. Για έναν τυχαίο κωδικό ισούται με μήκος × log2(μέγεθος συνόλου). Με και τα τέσσερα σύνολα χαρακτήρων, το σύνολο έχει 94 σύμβολα, δηλαδή περίπου 6,55 bit ανά χαρακτήρα, οπότε 16 χαρακτήρες δίνουν περίπου 105 bit. Αν εξαιρεθούν οι χαρακτήρες που μοιάζουν μεταξύ τους, το σύνολο μειώνεται σε 84 και κοστίζει λίγο λιγότερο από το ένα πέμπτο του bit ανά χαρακτήρα. Ο πίνακας παραπάνω χρησιμοποιεί τα ίδια μαθηματικά και υποθέτει επιτιθέμενο εκτός σύνδεσης που κάνει 10 δισεκατομμύρια δοκιμές το δευτερόλεπτο, ρεαλιστικό νούμερο για σύστημα με GPU απέναντι σε γρήγορο hash· ένας αργός hash όπως το bcrypt μειώνει αυτόν τον ρυθμό κατά τάξεις μεγέθους.

Οι φράσεις πρόσβασης λειτουργούν με τον ίδιο τρόπο, με λέξεις αντί για χαρακτήρες. Η ενσωματωμένη λίστα εδώ έχει 367 σύντομες, κοινές λέξεις, οπότε κάθε λέξη προσθέτει περίπου 8,5 bit και έξι λέξεις δίνουν περίπου 51 bit: εύκολη στην πληκτρολόγηση και την απομνημόνευση, αλλά ασθενέστερη από έναν τυχαίο κωδικό 16 χαρακτήρων. Αν επιλέξετε «τυχαίο ψηφίο» ως διαχωριστικό, προστίθενται περίπου 3,3 bit ανά κενό. Για φράση πρόσβασης που προστατεύει κάτι σημαντικό, χρησιμοποιήστε οκτώ λέξεις ή μια λίστα Diceware 7.776 λέξεων, όπου κάθε λέξη αξίζει 12,9 bit.

Ο μετρητής χαρακτηρίζει ως αδύναμο ό,τι είναι κάτω από 40 bit, μέτριο από 40 έως 59, ισχυρό από 60 έως 79 και πολύ ισχυρό από 80 και πάνω. Βαθμολογεί τις ρυθμίσεις της γεννήτριας, όχι τη συμβολοσειρά, που είναι ο μόνος ειλικρινής τρόπος αξιολόγησης ενός κωδικού: το «correct horse battery staple» βαθμολογείται υψηλά από ελεγκτές που βασίζονται σε μοτίβα, αλλά είναι η πρώτη φράση που δοκιμάζει κάθε επιτιθέμενος.

Χρησιμοποιήστε διαφορετικό κωδικό για κάθε λογαριασμό και αφήστε έναν διαχειριστή κωδικών να τους θυμάται· η επαναχρησιμοποίηση μετατρέπει έναν διαρρεύσαντα ιστότοπο σε πολλούς παραβιασμένους λογαριασμούς. Αποθηκεύστε τον κωδικό στον διαχειριστή πριν υποβάλετε τη φόρμα εγγραφής και ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων όπου προσφέρεται. Για να κλειδώσετε ένα έγγραφο και όχι έναν λογαριασμό, μια ισχυρή φράση πρόσβασης ταιριάζει με την Προστασία PDF με κωδικό, που κρυπτογραφεί το αρχείο με κωδικό της επιλογής σας.