ساخت رمز عبور قوی

ساخت یک رمز عبور قوی، امن و تصادفی

به‌روزرسانی: ۲ مهر ۱۴۰۵ · نویسنده: سامان

رمزی که خودتان از ذهنتان می‌سازید عادت‌های شما را با خود می‌آورد: یک نام، یک سال، یک حرف بزرگ در ابتدا، یک نماد در انتها. ابزارهای شکستن رمز این عادت‌ها را می‌شناسند و اول از همه همان‌ها را امتحان می‌کنند. این صفحه تولیدکننده رمز عبور را با طول ۲۰ و نمادهای فعال باز می‌کند، یعنی همان تنظیمی که بیشتر کسانی که دنبال ساخت رمز عبور قوی هستند می‌خواهند، و پیش از آنکه به چیزی دست بزنید یک رمز می‌سازد.

زیر نتیجه دو خوانش می‌گیرید: برچسب قدرت و آنتروپی بر حسب بیت. برچسب یک مقیاس درشت است و برای یک نگاه سریع خوب است؛ عدد سنجه واقعی است و باقی این صفحه درباره همان است.

قدرت از طول و تصادفی بودن می‌آید، نه از شکل

رمز با پیچیده به نظر رسیدن قوی نمی‌شود. P@ssw0rd! هم حرف بزرگ دارد، هم رقم، هم دو نماد و هم جایگزینی حرف، و جزو نخستین رشته‌هایی است که هر فهرست شکستن رمز امتحان می‌کند. آنچه اهمیت دارد این است که مهاجم باید از میان چند احتمالِ هم‌شانس بگذرد، و این تنها به دو چیز بستگی دارد: رمز چند کاراکتر دارد و هر کاراکتر چقدر غیرقابل پیش‌بینی است. چون هر دو در یک ضرب می‌نشینند، یک کاراکتر بیشتر کار مهاجم را چند برابر می‌کند، در حالی که یک نوع کاراکتر بیشتر فقط کمی آن را گسترده‌تر می‌کند.

آنتروپیِ پشت هر تنظیم

آنتروپی بر حسب بیت برابر است با طول ضربدر لگاریتم در پایه ۲ اندازه مجموعه کاراکترها، و هر بیت کار مهاجم را دو برابر می‌کند. حروف بزرگ، حروف کوچک و اعداد مجموعه‌ای ۶۲ کاراکتری می‌سازند. تیک نمادها بیست و شش علامت نقطه‌گذاری اضافه می‌کند و مجموعه را به ۸۸ کاراکتر می‌رساند.

جدول‌های مرجعی که معمولاً می‌بینید با همه ۹۴ کاراکتر چاپ‌شدنی <abbr title="American Standard Code for Information Interchange">ASCII کار می‌کنند؛ این سازنده ۲۶ علامت از ۳۲ علامت نقطه‌گذاری را به کار می‌برد، پس بزرگ‌ترین مجموعه‌اش ۸۸ است نه ۹۴ و ارقامش کمی پایین‌تر می‌نشینند. در هر حال ۱۲۹ بیت بسیار فراتر از چیزی است که یک حمله آفلاین بتواند از آن بگذرد، و همین است که برچسب قدرت اینجا بالاترین پله خود را نشان می‌دهد.

نویسه‌های مشابه و تضمین هر مجموعه

دو تیک شکل نتیجه را تغییر می‌دهند، نه طولش را. حذف نویسه‌های مشابه کاراکترهای 0، O، l، 1 و I را برمی‌دارد، همان‌هایی که وقتی رمز روی کارت چاپ می‌شود یا از پشت تلفن خوانده می‌شود اشتباه خوانده می‌شوند؛ مجموعه حروف و اعداد از ۶۲ به ۵۷ کاراکتر کوچک می‌شود که به‌ازای هر کاراکتر حدود نیم بیت هزینه دارد. دست‌کم یکی از هر نوع از هر مجموعه‌ای که تیک زده‌اید یک کاراکتر را تضمین می‌کند، پس فرمی که رقم می‌خواهد نخستین رمزی را که می‌سازید می‌پذیرد، نه سومی را.

اگر رمز را قرار است آدم تایپ کند و نه مدیر رمز، صفحه رمز وای‌فای همین سازنده را با هر دو تصمیمِ گرفته‌شده باز می‌کند.

هیچ‌چیز از صفحه بیرون نمی‌رود

رمز در مرورگر شما با crypto.getRandomValues چیده و با همان منبع تصادف برزده می‌شود، پس نه سروری هست که به آن اعتماد کنید، نه لاگی که لو برود و نه تاریخچه‌ای که پاک کنید. دکمه هم‌رسانی پیوند زیر ابزار طول و تیک مجموعه‌های کاراکتر را کپی می‌کند تا همکارتان سازنده را با همان تنظیمات باز کند؛ خود مقدار ساخته‌شده هرگز در پیوند گذاشته نمی‌شود. نتیجه را در یک مدیر رمز بچسبانید، برای هر حساب رمزی جدا به کار ببرید و تأیید دومرحله‌ای را روشن کنید — استدلال هر سه در راهنمای رمز عبور قوی آمده است.

وقتی یک رشته تصادفی شکل درستی نیست

برای آن دو سه رازی که باید از حفظ تایپ کنید، یک عبارت عبور از پنج یا شش کلمه تصادفی به همان قدرت می‌رسد، در شکلی که واقعاً به یاد می‌آورید. برای صفحه قفل یا صفحه‌کلیدی که فقط رقم می‌پذیرد، تولید پین را باز کنید و آنجا بخوانید که یک PIN به‌تنهایی چقدر کم می‌ارزد.