ساخت رمز عبور

مؤسسهٔ ملی استانداردها و فناوری آمریکا (NIST) راهنمای رمز عبور خود را در سند SP 800-63B بازنویسی کرد و در ویرایش چهارم، منتشرشده در سال 2024، آن را سخت‌گیرانه‌تر کرد. توصیهٔ اصلی آن با قوانین قدیمی سازمانی در تضاد است: سرویس‌ها باید رمزهایی دست‌کم 64 نویسه‌ای را بپذیرند، نباید ترکیب اجباری حروف بزرگ، ارقام و نمادها را تحمیل کنند، نباید کاربران را به تغییر دوره‌ای رمز وادار کنند و در عوض باید رمزهای جدید را با فهرست رمزهای لورفته و رایج مقایسه کنند.

دلیل آن حساب ساده است. قوانین ترکیب، کاربران را به الگوهای قابل پیش‌بینی مانند «Summer2024!» می‌کشاند که مهاجمان اول از همه امتحان می‌کنند. در مقابل، هر نویسهٔ تصادفی اضافه، کار حملهٔ جست‌وجوی exhaustive را به اندازهٔ اندازهٔ مجموعهٔ نویسه‌ها چند برابر می‌کند. رفتن از 12 به 16 نویسهٔ تصادفی از میان 94 نماد قابل چاپ ASCII حدود 26 بیت اضافه می‌کند و حدس زدن را تقریباً 78 میلیون برابر سخت‌تر می‌کند.

آنتروپی نشان می‌دهد مولد می‌توانست چند رمز هم‌احتمال تولید کند. برای رمز تصادفی برابر است با طول × log2(اندازهٔ مجموعه). با هر چهار دسته نویسه، مجموعه 94 نماد است و هر نویسه حدود 6.55 بیت می‌ارزد، پس 16 نویسه حدود 105 بیت می‌دهد. حذف نویسه‌های شبیه هم مجموعه را به 84 کاهش می‌دهد و کمی کمتر از یک‌پنجم بیت برای هر نویسه هزینه دارد. جدول بالا از همین محاسبه استفاده می‌کند و مهاجمی آفلاین را با 10 میلیارد حدس در ثانیه فرض می‌کند، رقمی معقول برای سیستم GPU در برابر هش سریع؛ هش کندی مانند bcrypt این سرعت را چندین مرتبه کاهش می‌دهد.

عبارت عبور هم همین‌طور کار می‌کند، با کلمه به‌جای نویسه. فهرست داخلی اینجا 367 کلمهٔ کوتاه و رایج دارد، پس هر کلمه حدود 8.5 بیت اضافه می‌کند و شش کلمه حدود 51 بیت می‌دهد: تایپ و به‌خاطرسپردنش آسان است اما از رمز تصادفی 16 نویسه‌ای ضعیف‌تر است. انتخاب «رقم تصادفی» به‌عنوان جداکننده برای هر فاصله حدود 3.3 بیت اضافه می‌کند. برای عبارتی که از چیز مهمی محافظت می‌کند، هشت کلمه یا فهرست 7,776 کلمه‌ای Diceware را به کار ببرید که هر کلمه‌اش 12.9 بیت می‌ارزد.

نشانگر، زیر 40 بیت را ضعیف، 40 تا 59 را متوسط، 60 تا 79 را قوی و 80 یا بیشتر را بسیار قوی می‌نامد. این نشانگر تنظیمات مولد را ارزیابی می‌کند، نه خود رشته را، که تنها روش صادقانهٔ امتیازدهی به رمز است: «correct horse battery staple» در بررسی‌گرهای مبتنی بر الگو امتیاز بالایی می‌گیرد، اما نخستین عبارتی است که هر مهاجمی امتحان می‌کند.

برای هر حساب رمز جداگانه بگذارید و به یک مدیر رمز بسپارید؛ استفادهٔ مجدد از رمز باعث می‌شود نشت یک سایت به هک چندین حساب برسد. رمز را پیش از ارسال فرم ثبت‌نام در مدیر رمز ذخیره کنید و هرجا امکانش هست تأیید دومرحله‌ای را روشن کنید. برای قفل کردن یک سند، نه یک حساب، یک عبارت عبور قوی همراه با رمزگذاری PDF مناسب است که فایل را با رمز دلخواه شما رمزگذاری می‌کند.