கடவுச்சொல் உருவாக்கி

அமெரிக்காவின் தேசிய தரநிர்ணய & தொழில்நுட்ப நிறுவனம் (NIST) தனது கடவுச்சொல் வழிகாட்டுதலை SP 800-63B-இல் மாற்றி எழுதியது; 2024-இல் வெளியான திருத்தம் 4-இல் அதை மேலும் கடுமையாக்கியது. அதன் முக்கிய ஆலோசனை பழைய நிறுவன விதிகளுக்கு எதிரானது: சேவைகள் குறைந்தது 64 எழுத்துகள் வரையிலான கடவுச்சொற்களை ஏற்க வேண்டும், பெரிய எழுத்து, இலக்கம், குறியீடு கலந்திருக்க வேண்டும் என்று கட்டாயப்படுத்தக் கூடாது, குறிப்பிட்ட கால இடைவெளியில் கடவுச்சொல்லை மாற்றச் சொல்லக் கூடாது; அதற்குப் பதிலாக புதிய கடவுச்சொற்களை கசிந்த மற்றும் பொதுவான கடவுச்சொற்களின் பட்டியலுடன் ஒப்பிட்டுச் சரிபார்க்க வேண்டும்.

இதன் காரணம் கணிதம்தான். அமைப்பு விதிகள் மக்களை "Summer2024!" போன்ற ஊகிக்கக்கூடிய வடிவங்களுக்குத் தள்ளுகின்றன; தாக்குபவர்கள் முதலில் முயல்வது அவற்றையே. ஆனால் ஒவ்வொரு கூடுதல் சீரற்ற எழுத்தும், எழுத்துத் தொகுப்பின் அளவுக்கேற்ப brute-force தாக்குதலின் உழைப்பைப் பெருக்குகிறது. 94 அச்சிடக்கூடிய ASCII குறியீடுகளிலிருந்து 12 சீரற்ற எழுத்துகளை 16 ஆக்கினால் சுமார் 26 பிட்கள் கூடும்; ஊகிப்பது ஏறத்தாழ 78 மில்லியன் மடங்கு கடினமாகிறது.

என்ட்ரோபி என்பது ஜெனரேட்டர் உருவாக்கக்கூடிய சம வாய்ப்புள்ள கடவுச்சொற்கள் எத்தனை என்பதை அளக்கிறது. சீரற்ற கடவுச்சொல்லுக்கு இது நீளம் × log2(தொகுப்பு அளவு). நான்கு எழுத்துத் தொகுப்புகளுடனும் தொகுப்பு 94 குறியீடுகள்; ஒவ்வொரு எழுத்துக்கும் சுமார் 6.55 பிட்கள், எனவே 16 எழுத்துகள் சுமார் 105 பிட்கள். ஒத்த தோற்றமுள்ள எழுத்துகளை விலக்கினால் தொகுப்பு 84 ஆகச் சுருங்கி, ஒவ்வொரு எழுத்துக்கும் ஒரு பிட்டில் ஐந்தில் ஒரு பங்குக்குச் சற்றுக் குறைவாக இழக்கிறது. மேலே உள்ள அட்டவணை இதே கணக்கைப் பயன்படுத்துகிறது; ஆஃப்லைன் தாக்குபவர் வினாடிக்கு 10 பில்லியன் முயற்சிகள் செய்வதாகக் கொள்கிறது. வேகமான hash-க்கு எதிரான GPU அமைப்புக்கு இது நியாயமான எண்; bcrypt போன்ற மெதுவான hash இந்த வேகத்தை பல மடங்கு குறைக்கும்.

பாஸ்ஃபிரேஸ்கள் எழுத்துகளுக்குப் பதிலாக சொற்களுடன் இதே முறையில் செயல்படுகின்றன. இங்குள்ள உள்ளமைந்த பட்டியலில் 367 குறுகிய, பொதுவான சொற்கள் உள்ளன; ஒவ்வொரு சொல்லும் சுமார் 8.5 பிட்கள் சேர்க்கிறது, ஆறு சொற்கள் சுமார் 51 பிட்கள்: தட்டச்சு செய்யவும் நினைவில் வைக்கவும் எளிது, ஆனால் 16 எழுத்து சீரற்ற கடவுச்சொல்லை விட பலவீனம். பிரிப்பானாக "சீரற்ற இலக்கம்" தேர்ந்தால் ஒவ்வொரு இடைவெளிக்கும் சுமார் 3.3 பிட்கள் கூடும். முக்கியமானதைப் பாதுகாக்கும் பாஸ்ஃபிரேஸுக்கு எட்டு சொற்கள் பயன்படுத்துங்கள், அல்லது ஒவ்வொரு சொல்லும் 12.9 பிட்கள் தரும் 7,776 சொற்கள் கொண்ட Diceware பட்டியலைப் பயன்படுத்துங்கள்.

மீட்டர் 40 பிட்களுக்குக் கீழ் பலவீனம், 40 முதல் 59 வரை சராசரி, 60 முதல் 79 வரை வலுவானது, 80 அல்லது அதற்கு மேல் மிக வலுவானது என்று குறிக்கிறது. இது சரத்தை அல்ல, ஜெனரேட்டர் அமைப்புகளை மதிப்பிடுகிறது; கடவுச்சொல்லை மதிப்பிட இதுவே நேர்மையான வழி: "correct horse battery staple" வடிவ அடிப்படையிலான சோதனைகளில் உயர்ந்த மதிப்பெண் பெறும், ஆனால் எந்தத் தாக்குபவரும் முதலில் முயலும் தொடர் அதுவே.

ஒவ்வொரு கணக்குக்கும் வெவ்வேறு கடவுச்சொல்லைப் பயன்படுத்தி, அவற்றை கடவுச்சொல் மேலாளர் நினைவில் வைக்கட்டும்; ஒரே கடவுச்சொல்லை மீண்டும் பயன்படுத்துவதுதான் ஒரு தளத்தின் கசிவை பல கணக்குகள் கடத்தப்படுவதாக மாற்றுகிறது. பதிவுப் படிவத்தைச் சமர்ப்பிக்கும் முன் கடவுச்சொல்லை மேலாளரில் சேமியுங்கள்; எங்கெல்லாம் வசதி இருக்கிறதோ அங்கெல்லாம் இரு-படி அங்கீகாரத்தை இயக்குங்கள். கணக்கை அல்ல, ஆவணத்தைப் பூட்ட விரும்பினால், வலுவான பாஸ்ஃபிரேஸ் PDF-ஐப் பாதுகாக்க கருவியுடன் நன்றாகப் பொருந்தும்; அது நீங்கள் தேர்ந்த கடவுச்சொல்லால் கோப்பை குறியாக்கம் செய்கிறது.