تولیدکننده رمز عبور

سازنده رمز عبور قوی — ساخت پسورد تصادفی و امن

به‌روزرسانی: ۲ مهر ۱۴۰۵ · نویسنده: سامان

رمزی که خودتان از ذهنتان می‌سازید، همان رمزی است که مهاجم می‌تواند حدس بزند. رمزهایی که آدم‌ها انتخاب می‌کنند همیشه حول نام‌ها، تاریخ‌ها، الگوهای صفحه‌کلید و جایگزینی حروف می‌چرخد و ابزارهای شکستن رمز دقیقاً از همین‌ها شروع می‌کنند. این سازنده رمز عبور رایگان آن سوگیری را حذف می‌کند: هر کاراکتر از منبع تصادف رمزنگاری‌شده مرورگر شما ساخته می‌شود، پس نتیجه هیچ الگوی قابل سوءاستفاده‌ای ندارد.

طول را تنظیم کنید، مجموعه کاراکترهای دلخواه را انتخاب کنید و یک رمز یا ده رمز را یکجا بسازید. منوی حالت میان یک رمز عبور تصادفی، یک عبارت عبور به‌یادماندنی از کلمه‌های واقعی و یک PIN تمام‌عددی جابه‌جا می‌شود. نشانگر قدرت و مقدار آنتروپی به بیت با تغییر تنظیمات به‌روز می‌شود و هیچ‌چیزی از آنچه می‌سازید ارسال، ذخیره یا در لاگ ثبت نمی‌شود.

چه چیزی واقعاً یک رمز را قوی می‌کند

قدرت رمز با آنتروپی سنجیده می‌شود، یعنی تعداد حدس‌هایی که مهاجم باید بزند. آنتروپی با بزرگ‌تر شدن مجموعه کاراکترها بیشتر می‌شود، اما با افزایش طول خیلی سریع‌تر رشد می‌کند. یک کاراکتر بیشتر، فضای جستجو را چند برابر می‌کند، در حالی که افزودن یک نوع نماد تازه فقط کمی آن را بزرگ‌تر می‌کند. به همین دلیل یک رمز ۱۶ کاراکتری از حروف و عدد، از یک رمز ۸ کاراکتری پر از علائم قوی‌تر است و به همین دلیل هر راهنمای امنیتی جدی امروز از «طول» شروع می‌کند.

سه حالت: رمز عبور، عبارت عبور و PIN

عبارت عبور کلمه‌هایش را از EFF Large Wordlist برمی‌دارد؛ فهرستی از ۷۷۷۶ کلمهٔ کوتاه که برای آسان تایپ شدن و تشخیص‌پذیری انتخاب شده‌اند، پس هر کلمه ۱۲٫۹ بیت اضافه می‌کند. جداکننده را انتخاب کنید (- یا . یا _ یا فاصله) و اگر فرمی روی حرف بزرگ یا عدد اصرار دارد، حرف اول هر کلمه بزرگ یا افزودن دو رقم را روشن کنید. PIN هم ۳ تا ۱۲ رقم برای قفل گوشی یا کد درب می‌دهد و بیش از این نه. در هر حالت، خطی که زیر نتیجه می‌آید آنتروپی را به بیت نشان می‌دهد: هر کلمه از آن فهرست ۱۲٫۹ بیت می‌ارزد و یک رمز ۲۰ کاراکتری از مجموعهٔ کامل ۸۸ کاراکتری حدود ۱۲۹ بیت است. فهرست کلمه‌ها: EFF Large Wordlist با مجوز CC BY 3.0 US.

رمز عبور چقدر باید بلند باشد

روش ساخت رمز در همین صفحه

1. حالت را انتخاب کنید: رمز عبور، عبارت عبور یا PIN. گزینه‌های پایین‌تر با همین انتخاب عوض می‌شوند.
2. برای رمز عبور، نوار طول را جابه‌جا کنید؛ از ۴ تا ۱۲۸ کاراکتر و عدد ۱۶ انتخاب پیش‌فرض منطقی است. عبارت عبور به‌جای آن تعداد کلمه (۳ تا ۱۲) دارد و PIN، تعداد رقم (۳ تا ۱۲).
3. مجموعه‌های موردنیازتان را تیک بزنید: حروف بزرگ، حروف کوچک، اعداد و نمادها.
4. گزینه دست‌کم یکی از هر نوع را روشن بگذارید تا از هر مجموعه‌ای که تیک زده‌اید واقعاً چیزی در نتیجه بیاید.
5. اگر قرار است رمز را بلند بخوانید یا دستی تایپ کنید، گزینه حذف نویسه‌های مشابه را فعال کنید.
6. برای یک رمز روی تولید رمز و برای انتخاب از میان چند رمز روی تولید ۱۰ رمز بزنید.
7. آنتروپی را به بیت، در خط زیر نتیجه بخوانید، بعد رمز را کپی کنید و مستقیم در مدیر رمز عبور خود بچسبانید.

وقتی سایت رمز تولیدشده را نمی‌پذیرد

بسیاری از فرم‌های ثبت‌نام دست‌کم یک رقم یا یک نماد می‌خواهند و رشته‌ای که کاملاً تصادفی ساخته شده همیشه یکی از آن‌ها را ندارد. گزینه دست‌کم یکی از هر نوع برای همین است و از ابتدا روشن است: تا وقتی طول رمز برای همه مجموعه‌ها جا داشته باشد، از هر مجموعه‌ای که تیک زده‌اید یک کاراکتر را کنار می‌گذارد؛ پس همان اولین رمزی که می‌سازید قاعده سایت را رعایت می‌کند و لازم نیست دوباره امتحان کنید. اما اگر فرم طول رمز را محدود کرده، رمز را کوتاه‌تر کنید و نمادها را تیک بزنید تا بخشی از آنتروپی برگردد؛ و اگر نماد را به‌کل قبول نمی‌کند، تیک آن را بردارید و چهار کاراکتر به طول اضافه کنید.

چرا کاراکترهای مشابه را حذف کنیم

در بسیاری از فونت‌ها عدد ۱، حرف کوچک l و حرف بزرگ I تقریباً یکسان دیده می‌شوند؛ همین‌طور صفر و حرف O. وقتی مدیر رمز عبور فیلد را پر می‌کند این موضوع اهمیتی ندارد، اما وقتی کسی باید رمز وای‌فای را از روی یک کارت بخواند یا یک رمز موقت را از تیکت پشتیبانی تایپ کند دردسر می‌شود. فعال کردن این گزینه مقدار کمی آنتروپی را با کاهش چشمگیر ورودهای ناموفق معاوضه می‌کند؛ کافی است دو سه کاراکتر به طول اضافه کنید.

رمز را کجا نگه داریم

رمز تولیدشده فقط وقتی مفید است که هرگز مجبور نباشید آن را به خاطر بسپارید. آن را در یک مدیر رمز عبور ذخیره کنید، برای هر حساب رمز جداگانه بسازید و هرجا احراز هویت دومرحله‌ای هست آن را روشن کنید. خطر واقعی استفاده مجدد است: یک سایت لو رفته به ده‌ها حساب هک‌شده تبدیل می‌شود، همین که مهاجم همان نام کاربری و رمز را جای دیگری امتحان کند.

اشتباه‌هایی که رمزهای خوب را ضعیف می‌کنند

• استفاده از یک رمز قوی در چند سرویس مختلف به‌جای ساختن رمز تازه برای هرکدام.
• جایگزینی‌های قابل‌پیش‌بینی مانند P@ssw0rd — این الگوها ده‌ها سال است در دیکشنری حمله‌کننده‌ها هستند.
• ساختن رمز از تاریخ تولد، اسم حیوان خانگی، نام تیم یا هر چیزی که در پروفایل عمومی شما پیداست.
• فرستادن رمز از طریق چت یا ایمیل، جایی که مدت‌ها بعد هم قابل جستجو باقی می‌ماند.
• افزودن 1403 یا ! به رمز قبلی وقتی سیاست سازمان تعویض رمز را اجباری می‌کند.
• نگهداری رمزها در فایل اکسل، اپلیکیشن یادداشت یا مرورگر یک کامپیوتر مشترک.

عبارت عبور چطور؟

چهار یا پنج کلمه تصادفی و بی‌ارتباط، هم به‌راحتی در ذهن می‌ماند و هم واقعاً قوی است؛ گزینه خوبی برای رمز اصلی مدیر رمز عبور یا رمز رمزنگاری دیسک، چون همین دو مورد هستند که واقعاً باید از حفظ تایپ کنید. حالت را روی عبارت عبور بگذارید و همین صفحه به‌جای یک رشته تصادفی، چنین عبارتی برایتان می‌سازد. برای بقیه موارد، یک رشته تصادفی تولیدشده کوتاه‌تر است، سریع‌تر چسبانده می‌شود و هرگز لازم نیست به یاد بماند.

ساخت کاملاً خصوصی در مرورگر شما

هر رمز از crypto.getRandomValues ساخته می‌شود، یعنی همان منبع تصادف امن رمزنگاری مرورگر، و هرگز از صفحه بیرون نمی‌رود. نه رفت‌وبرگشتی به سرور هست، نه لاگی و نه تاریخچه‌ای؛ رمزی که اینجا می‌سازید فقط همان‌جایی وجود دارد که آن را می‌چسبانید. حالت عبارت عبور فقط یک بار فهرست کلمه‌ها را مثل هر فایل ثابت دیگری دانلود می‌کند، اما هیچ‌چیز از آنچه می‌سازید در جهت مخالف جابه‌جا نمی‌شود.

ساخت رمز عبور تصادفی در خط فرمان

برای یک سرور، یک اسکریپت یا یک راز یک‌بارمصرف شاید اصلاً نخواهید مرورگر باز کنید. openssl rand -base64 24 در لینوکس و macOS یک رشته تصادفی ۳۲ کاراکتری چاپ می‌کند؛ در PowerShell دستور -join ((33..126) | Get-Random -Count 20 | ForEach-Object { [char]$_ }) ۲۰ کاراکتر قابل چاپ می‌دهد. هر دو مثل همین صفحه از منبع تصادفی امن سیستم‌عامل استفاده می‌کنند. با این حال هر چیزی که باید نگه دارید جایش در مدیر رمز عبور است.

ابزارهای مرتبط

به مقدارهای یکتای دیگری نیاز دارید؟ شناسه‌ها را با سازنده UUID بسازید، اثر انگشت داده را با سازنده هش بگیرید، توکن دسترسی را با رمزگشای JWT بررسی کنید و رمز وای‌فای را بدون خواندن حرف به حرف، با سازنده کد QR به اشتراک بگذارید.