تولید پین تصادفی
یک PIN که کسی نمی‌تواند از تاریخ تولد شما حدس بزند، رقم به رقم از منبع تصادف رمزنگاری‌شده مرورگرتان کشیده میشود.
کلمهها از فهرست ۷۷۷۶ کلمهای EFF انتخاب میشوند، پس هر کلمه ۱۲٫۹ بیت آنتروپی اضافه میکند. تایپ و بهیادسپردن آن از یک رشتهٔ تصادفی با همان قدرت آسان‌تر است.
امنیت PIN فقط به اندازهٔ دستگاهی است که شمار تلاش‌ها را محدود میکند. آن را بهجای رمز عبور به کار نبرید.
ساخت یک PIN تصادفی
بیشتر پینها انتخاب نمی‌شوند، از جای دیگری به یاد می‌آیند: سال تولد، شماره خانه، تاریخی که معنایی دارد. همین باعث میشود هر کسی که کمی از شما بداند بتواند حدسشان بزند، و حتی برای کسی که نمی‌داند هم قابل پیش‌بینی باشند، چون همه ما به همان چند الگوی آشنا دست می‌بریم. این صفحه تولیدکننده رمز عبور را در حالت PIN باز میکند، جایی که هر رقم مستقل از ۰ تا ۹ با منبع تصادف رمزنگاری‌شده مرورگر کشیده میشود، پس هیچ عادتی از شما به نتیجه راه پیدا نمیکند.
ارزش دارد روشن باشیم که این کار چه چیزی برایتان می‌خرد و چه چیزی نمی‌خرد، چون یک پین ضعیف‌ترین چیزی است که این ابزار می‌سازد.
یک PIN بهتنهایی ضعیف است
| تعداد رقم | کدهای ممکن | آنتروپی |
|---|---|---|
| ۳ | ۱٫۰۰۰ | حدود ۱۰ بیت |
| ۴ | ۱۰٫۰۰۰ | حدود ۱۳ بیت |
| ۶ | ۱ میلیون | حدود ۲۰ بیت |
| ۸ | ۱۰۰ میلیون | حدود ۲۷ بیت |
| ۱۲ | هزار میلیارد | حدود ۴۰ بیت |
این ارقام را کنار یک رمز عبور بگذارید و فاصله روشن میشود: شانزده حرف و رقم تصادفی حدود ۹۵ بیت است، و هر بیت کار را دو برابر میکند. ماشینی که در هر ثانیه یک میلیارد کد امتحان میکند همه پین‌های ممکن ۱۲ رقمی را در کمتر از بیست دقیقه تمام میکند، و یک پین چهاررقمی را سریع‌تر از آنکه این جمله را بخوانید. تصادفی بودن در این صفحه حدس‌های آسان را برمی‌دارد؛ نمی‌تواند اندازه فضایی را که جست‌وجو میشود تغییر دهد.
چیزی که پین را با این حال قابل استفاده میکند این است که یک سامانه خوب‌طراحی‌شده هرگز به کسی اجازه حدس زدن آزاد نمی‌دهد. کارت بعد از سه تلاش بلعیده میشود، گوشی تأخیر می‌گذارد و بعد خودش را پاک میکند، صفحهکلید در برای یک دقیقه قفل میشود. پین چند بیت میدهد؛ باقی امنیت را دستگاه میدهد.
کجا یک پین کافی است و کجا نه
- کافی است: صفحه قفل گوشی یا تبلت با قفل شدن پس از تلاش‌های ناموفق، کارت بانکی، سیم‌کارت، صفحهکلید دزدگیر یا در، صندوق پیام صوتی، گاوصندوقی که بین تلاش‌ها تأخیر می‌گذارد.
- کافی نیست: هر چیزی که مهاجم بتواند کپی کند و با سرعت خودش به آن حمله کند — یک آرشیو یا دیسک رمزگذاری‌شده، ورود به یک وب‌سایت، صفحه مدیریت مودم، یک شبکه وای‌فای، یک مدیر رمز.
- هرگز: به‌عنوان رمز یک حساب آنلاین، یا به‌عنوان یک کد یکسان روی گوشی و کارت و در خانه‌تان. یک بار دید زدن از پشت سر در یک فروشگاه نباید همه‌چیزتان را باز کند.
تصادفی بودن شامل نتیجه‌هایی است که غلط به نظر می‌رسند
چون هر رقم مستقل است، یک قرعه واقعاً تصادفی گاهی 1234، 0000 یا رشته‌ای از یک رقم تکراری می‌سازد. این حدود یک بار در هر ده هزار قرعه چهاررقمی رخ میدهد، و فیلتر کردنش پین‌های باقی‌مانده را کمی قابل پیش‌بینی‌تر می‌کرد، نه کمتر. پس سازنده دست به خروجی نمی‌زند. از تولید ۱۰ رمز استفاده کنید، فهرست را از بالا به پایین بخوانید و یکی را بردارید که نه شبیه الگو است و نه با تاریخی در زندگی شما جور میشود.
تا تازه است جایی حساب‌شده یادداشتش کنید. پینی که به یاد نمی‌آورید معمولاً در یک هفته جایش را به سال تولدتان میدهد و این همه زحمت را بی‌اثر میکند.
به‌جایش چه به کار ببریم و چه وقت
برای یک حساب، با ساخت رمز عبور قوی یک رشته تصادفی بلند بسازید و بگذارید مدیر رمز آن را به یاد بسپارد. برای رازی که خود مدیر رمز را باز میکند، یک عبارت عبور از پنج یا شش کلمه تصادفی به‌یادماندنی است و حدود دو برابر بیت‌های یک پین دوازده‌رقمی را حمل میکند، که کار مهاجم را به توان دو می‌رساند. برای شبکه خانه، رمز وای‌فای چیزی می‌سازد که بلند است اما هنوز با کنترل تلویزیون تایپ‌شدنی. راهنمای رمز عبور قوی نشان میدهد این قطعه‌ها چطور کنار هم می‌نشینند، از جمله اینکه چرا تأیید دومرحله‌ای از هر کدی که در ذهن نگه می‌دارید مهم‌تر است.