เครื่องมือสร้างรหัสผ่าน

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ (NIST) ได้เขียนแนวทางด้านรหัสผ่านใหม่ใน SP 800-63B และเข้มงวดขึ้นอีกครั้งในฉบับปรับปรุงครั้งที่ 4 ซึ่งเผยแพร่ในปี 2024 หลักคำแนะนำสำคัญขัดกับกฎเดิมขององค์กรหลายข้อ คือบริการควรรองรับรหัสผ่านอย่างน้อย 64 ตัวอักษร ไม่ควรบังคับให้ผสมตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์ ไม่ควรบังคับให้เปลี่ยนรหัสผ่านตามกำหนดเวลา และควรตรวจรหัสผ่านใหม่เทียบกับรายการรหัสผ่านที่รั่วไหลและรหัสผ่านที่ใช้กันทั่วไปแทน

เหตุผลเป็นเรื่องของการคำนวณ กฎการผสมอักษรทำให้คนตั้งรหัสผ่านตามรูปแบบที่เดาได้ เช่น "Summer2024!" ซึ่งผู้โจมตีจะลองเป็นอันดับแรก ในทางกลับกัน อักขระสุ่มที่เพิ่มขึ้นทุกตัวจะคูณปริมาณงานของการโจมตีแบบ brute-force ด้วยขนาดชุดอักขระ การเพิ่มจากอักขระสุ่ม 12 ตัวเป็น 16 ตัวจากสัญลักษณ์ ASCII ที่พิมพ์ได้ 94 ตัว จะเพิ่มเอนโทรปีราว 26 บิต ทำให้เดารหัสผ่านยากขึ้นประมาณ 78 ล้านเท่า

เอนโทรปีวัดว่าตัวสร้างรหัสผ่านอาจสร้างรหัสผ่านที่มีโอกาสเท่ากันได้กี่แบบ สำหรับรหัสผ่านสุ่มคือ ความยาว × log2(ขนาดชุดอักขระ) เมื่อใช้ชุดอักขระครบทั้งสี่ชุด ชุดอักขระมี 94 ตัว ให้ประมาณ 6.55 บิตต่ออักขระ ดังนั้น 16 ตัวอักษรจึงได้ราว 105 บิต การตัดอักขระที่หน้าตาคล้ายกันออกจะลดชุดอักขระเหลือ 84 ตัว และเสียไปน้อยกว่าหนึ่งในห้าบิตต่ออักขระเล็กน้อย ตารางด้านบนใช้การคำนวณเดียวกัน โดยสมมติว่าผู้โจมตีแบบออฟไลน์เดาได้ 10,000 ล้านครั้งต่อวินาที ซึ่งเป็นตัวเลขที่สมเหตุสมผลสำหรับเครื่อง GPU กับแฮชที่เร็ว ส่วนแฮชที่ช้าอย่าง bcrypt จะลดอัตรานี้ลงหลายระดับ

วลีรหัสผ่านทำงานแบบเดียวกัน แต่ใช้คำแทนอักขระ รายการในตัวมีคำสั้น ๆ ที่ใช้บ่อย 367 คำ แต่ละคำจึงเพิ่มราว 8.5 บิต และหกคำให้ราว 51 บิต พิมพ์และจำง่าย แต่อ่อนกว่ารหัสผ่านสุ่ม 16 ตัวอักษร การเลือก "ตัวเลขสุ่ม" เป็นตัวคั่นจะเพิ่มราว 3.3 บิตต่อช่องว่างหนึ่งช่อง หากวลีรหัสผ่านใช้ป้องกันสิ่งสำคัญ ให้ใช้แปดคำ หรือใช้รายการ Diceware 7,776 คำ ซึ่งแต่ละคำมีค่า 12.9 บิต

มาตรวัดแบ่งระดับดังนี้ ต่ำกว่า 40 บิตคืออ่อน 40 ถึง 59 พอใช้ 60 ถึง 79 แข็งแกร่ง และ 80 ขึ้นไปแข็งแกร่งมาก โดยประเมินจากการตั้งค่าของตัวสร้าง ไม่ใช่จากสตริง ซึ่งเป็นวิธีให้คะแนนรหัสผ่านที่ตรงไปตรงมาเพียงวิธีเดียว เพราะ "correct horse battery staple" ได้คะแนนสูงในตัวตรวจที่ดูจากรูปแบบ แต่เป็นวลีแรกที่ผู้โจมตีทุกคนจะลอง

ใช้รหัสผ่านที่ต่างกันในทุกบัญชี และให้โปรแกรมจัดการรหัสผ่านจำแทน เพราะการใช้รหัสซ้ำทำให้เว็บไซต์เดียวที่รั่วไหลกลายเป็นบัญชีที่ถูกแย่งไปหลายบัญชี บันทึกรหัสผ่านในโปรแกรมจัดการก่อนกดส่งแบบฟอร์มสมัครสมาชิก และเปิดการยืนยันตัวตนสองขั้นตอนทุกที่ที่มีให้ หากต้องการล็อกเอกสารแทนที่จะล็อกบัญชี วลีรหัสผ่านที่แข็งแกร่งใช้ได้ดีกับ ใส่รหัสผ่าน PDF ซึ่งเข้ารหัสไฟล์ด้วยรหัสผ่านที่คุณเลือก