Penjana Kata Laluan
Cipta kata laluan rawak atau frasa laluan yang mudah diingat. Semuanya dijana dalam pelayar Anda menggunakan penjana nombor rawak Web Crypto; kata laluan tidak pernah dihantar kepada UltKit, tidak direkodkan dan tidak disimpan. Meter menunjukkan entropi sebenar tetapan Anda dalam bit.
Set 94 simbol × 20 · Purata masa untuk meneka pada 10 bilion tekaan sesaat: 4.6 × 10²¹ tahun
Kata laluan dijana dalam pelayar anda dengan crypto.getRandomValues. Tiada apa-apa dihantar kepada UltKit atau disimpan di mana-mana.
Entropi dan masa untuk dipecahkan
Serangan luar talian pada 10¹⁰ (10 bilion) tekaan sesaat. Purata masa ialah separuh daripada keseluruhan ruang carian.
| Entropi | Aksara rawak (set 94 simbol) | Perkataan daripada senarai 7,776 perkataan | Purata masa untuk dipecahkan |
|---|---|---|---|
| 28 | 5 | 3 | kurang daripada 1 saat |
| 40 | 7 | 4 | 55 saat |
| 50 | 8 | 4 | 16 jam |
| 60 | 10 | 5 | 1.8 tahun |
| 72 | 11 | 6 | 7,482 tahun |
| 80 | 13 | 7 | 1.9J tahun |
| 100 | 16 | 8 | 2T tahun |
| 128 | 20 | 10 | 5.4 × 10²⁰ tahun |
Panjang lebih penting daripada kerumitan: apa kata NIST SP 800-63B
Institut Piawaian dan Teknologi Kebangsaan AS (NIST) menulis semula panduan kata laluannya dalam SP 800-63B dan memperketatkannya lagi dalam semakan 4 yang diterbitkan pada 2024. Nasihat utamanya bertentangan dengan peraturan korporat lama: perkhidmatan harus menerima kata laluan sekurang-kurangnya 64 aksara, tidak boleh memaksa gabungan huruf besar, digit dan simbol, tidak boleh memaksa pengguna menukar kata laluan mengikut jadual, dan sebaliknya harus menyemak kata laluan baharu dengan senarai kata laluan yang pernah bocor dan yang biasa digunakan.
Alasannya ialah aritmetik. Peraturan komposisi mendorong orang ke arah corak yang mudah diteka seperti "Summer2024!", yang akan dicuba penyerang dahulu. Sebaliknya, setiap aksara rawak tambahan menggandakan kerja serangan brute-force mengikut saiz kumpulan aksara. Beralih daripada 12 kepada 16 aksara rawak daripada 94 simbol ASCII boleh cetak menambah kira-kira 26 bit, menjadikan tekaan kira-kira 78 juta kali lebih sukar.
Cara nilai entropi dikira
Entropi mengukur berapa banyak kata laluan yang sama kemungkinannya yang boleh dihasilkan oleh penjana. Bagi kata laluan rawak, ia ialah panjang × log2(saiz kumpulan). Dengan keempat-empat set aksara, kumpulannya ialah 94 simbol, bernilai kira-kira 6.55 bit setiap aksara, jadi 16 aksara memberikan kira-kira 105 bit. Mengecualikan aksara yang kelihatan serupa mengecilkan kumpulan kepada 84 dan mengurangkan sedikit kurang daripada seperlima bit setiap aksara. Jadual di atas menggunakan pengiraan yang sama dan mengandaikan penyerang luar talian yang membuat 10 bilion tekaan sesaat, angka yang munasabah untuk set GPU terhadap hash pantas; hash perlahan seperti bcrypt mengurangkan kadar itu beberapa magnitud.
Frasa laluan berfungsi dengan cara yang sama, menggunakan perkataan dan bukannya aksara. Senarai terbina dalam di sini mempunyai 367 perkataan pendek yang biasa, jadi setiap perkataan menambah kira-kira 8.5 bit dan enam perkataan memberikan kira-kira 51 bit: mudah ditaip dan diingat, tetapi lebih lemah daripada kata laluan rawak 16 aksara. Memilih "digit rawak" sebagai pemisah menambah kira-kira 3.3 bit bagi setiap sela. Untuk frasa laluan yang melindungi sesuatu yang penting, gunakan lapan perkataan, atau senarai Diceware 7,776 perkataan yang setiap perkataannya bernilai 12.9 bit.
Meter melabelkan di bawah 40 bit sebagai lemah, 40 hingga 59 sederhana, 60 hingga 79 kuat dan 80 atau lebih sangat kuat. Ia menilai tetapan penjana, bukan rentetan itu, iaitu satu-satunya cara jujur untuk menilai kata laluan: "correct horse battery staple" mendapat skor tinggi pada penyemak berasaskan corak tetapi ialah frasa pertama yang dicuba mana-mana penyerang.
Menggunakan kata laluan yang dijana dengan selamat
Gunakan kata laluan berbeza untuk setiap akaun dan biarkan pengurus kata laluan mengingatinya; penggunaan semula kata laluan menyebabkan satu laman yang bocor menjadi banyak akaun yang dirampas. Simpan kata laluan dalam pengurus sebelum anda menghantar borang pendaftaran, dan hidupkan pengesahan dua faktor di mana-mana ia ditawarkan. Untuk mengunci dokumen dan bukannya akaun, frasa laluan yang kuat sesuai digunakan dengan Lindungi PDF, yang menyulitkan fail dengan kata laluan pilihan anda.
Soalan lazim
- Adakah selamat menggunakan penjana kata laluan dalam talian?
- Ia selamat apabila kata laluan tidak pernah meninggalkan peranti anda. Penjana ini berjalan sepenuhnya dalam pelayar anda menggunakan crypto.getRandomValues, sumber rawak selamat secara kriptografi; tiada permintaan dibuat apabila anda menjana, menyalin atau menukar tetapan, yang boleh anda sahkan dalam panel rangkaian pelayar anda.
- Berapa panjang kata laluan yang sepatutnya pada tahun 2026?
- Untuk kata laluan rawak yang disimpan dalam pengurus kata laluan, 16 aksara atau lebih daripada keempat-empat set aksara, yang memberikan lebih 100 bit entropi. NIST menghendaki perkhidmatan menerima sekurang-kurangnya 64 aksara, jadi panjang jarang menjadi had.
- Mengapa saya boleh mengecualikan aksara yang mengelirukan seperti 0, O, l dan 1?
- Supaya kata laluan yang perlu anda baca dengan kuat atau taip daripada kertas tidak tersalah taip. Ia mengecilkan kumpulan daripada 94 kepada 84 simbol, yang lebih daripada cukup diganti dengan beberapa aksara tambahan.
- Adakah frasa laluan lebih baik daripada kata laluan rawak?
- Frasa laluan lebih mudah diingat dan ditaip, sesuai untuk kata laluan induk atau log masuk peranti. Bagi setiap aksara, entropinya lebih rendah, jadi ia memerlukan lebih banyak perkataan: gunakan sekurang-kurangnya enam daripada senarai besar, atau lapan daripada senarai pendek yang terbina dalam halaman ini.
- Adakah penjana ini mengingati kata laluan yang telah dijananya?
- Tidak. Kata laluan hanya wujud pada halaman sehingga anda menjana yang baharu atau menutup tab. Tiada apa-apa ditulis ke kuki, storan setempat atau pelayan.