รหัสผ่านแข็งแรงต้องมีอะไรบ้าง ดูจากตัวเลขที่เข้าใจง่าย

รหัสผ่านที่แข็งแรงควรยาวและสุ่ม และความสุ่มนั้นควรมาจากเครื่องมือสร้าง ไม่ใช่จากการคิดเองของคุณ อักขระหรือคำที่สุ่มเพิ่มแต่ละตัวจะทำให้จำนวนครั้งที่ผู้โจมตีต้องเดาเพิ่มขึ้นหลายเท่า นี่คือเหตุผลที่ความยาวช่วยได้มากกว่าเทคนิคอย่างการแทนตัวอักษรด้วยสัญลักษณ์ ควรสร้างรหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบัญชี เก็บไว้ในตัวจัดการรหัสผ่าน และอย่าใช้ซ้ำเด็ดขาด

สร้างรหัสผ่านต้องการรหัสผ่านที่แข็งแรงใช้ฟรี

ทำไมเทคนิคลูกเล่นจึงไม่ได้ผล

ผู้โจมตีแทบไม่เดาทีละบัญชีด้วยมือ พวกเขาจะใช้รายการรหัสผ่านยอดนิยมและคำในพจนานุกรม แล้วนำมาลองกับรูปแบบที่รู้กันอยู่ เช่น @ แทน a, 0 แทน o และการเติมสัญลักษณ์ไว้ท้ายคำ พวกเขาจะลองตัวแปรเหล่านี้ก่อนเพราะคนจำนวนมากใช้รูปแบบเดียวกัน รหัสผ่านอย่าง P@ssw0rd! ดูซับซ้อนสำหรับคน แต่เป็นหนึ่งในตัวแปรแรก ๆ ที่รายการของผู้โจมตีจะลองใช้ ความซับซ้อนที่มองเห็นจึงบอกได้น้อยมากว่ามันเดายากแค่ไหน

Entropy แบบเข้าใจง่าย

Entropy คือการวัดว่ารหัสผ่านอาจมาจากความเป็นไปได้ที่มีโอกาสเท่ากันกี่แบบ วัดเป็นบิต ทุกบิตที่เพิ่มขึ้นทำให้จำนวนครั้งที่ต้องเดาเพิ่มเป็นสองเท่า ประเด็นสำคัญคือ Entropy บอกถึงกระบวนการที่สร้างรหัสผ่าน ไม่ได้บอกว่ารหัสผ่านหน้าตาเป็นอย่างไร สตริงสุ่มกับวลีที่จำง่ายอาจดูแปลกพอ ๆ กัน แต่มี Entropy ต่างกันมาก ตัวระบุแบบสุ่มก็ไม่ใช่รหัสผ่านเช่นกัน เพราะถูกออกแบบมาให้ไม่ซ้ำ ไม่ได้ออกแบบให้เป็นความลับ UUID v4 หรือ v7 อธิบายความต่างนี้ไว้

สำหรับรหัสผ่านที่สร้างจากอักขระสุ่ม การคำนวณคือ:

bits = ความยาว × log2(ขนาดของชุดอักขระ)

สำหรับวลีรหัสผ่านที่สร้างจากคำสุ่ม การคำนวณคือ:

bits = จำนวนคำ × log2(ขนาดของรายการคำ)

ตารางแสดงค่าที่คำนวณไว้ แต่ละแถวสมมติว่าทุกการเลือกสุ่มและมีโอกาสเท่ากัน

สร้างแบบนี้	ความเป็นไปได้	บิต
ตัวอักษรเล็กสุ่ม 8 ตัว	26^8	37.6
ตัวอักษรและตัวเลขสุ่ม 12 ตัว	62^12	71.5
อักขระสุ่ม 20 ตัวจากสัญลักษณ์ที่พิมพ์ได้ 94 ตัว	94^20	131.1
คำสุ่ม 4 คำจากรายการ 7,776 คำ	7,776^4	51.7
คำสุ่ม 5 คำจากรายการ 1,024 คำ	1,024^5	50.0
คำสุ่ม 6 คำจากรายการ 7,776 คำ	7,776^6	77.5

แถวแรกแสดงว่าทำไมสตริงสุ่มสั้น ๆ จึงอ่อนแอ 38 บิตเหลือช่องว่างความปลอดภัยน้อยมากสำหรับบัญชีที่สำคัญ แถวที่สามแสดงว่าความยาวให้อะไร รหัสผ่านที่คุณคิดขึ้นเอง เช่น Sunset!2026 มีความเป็นไปได้จริงน้อยกว่าความยาวของมันมาก เพราะคุณเลือกมาจากรูปแบบคุ้นเคยเพียงไม่กี่แบบ

วลีรหัสผ่านที่พิมพ์ได้

หากคุณต้องพิมพ์รหัสผ่าน เช่น รหัสเข้าแล็ปท็อป หรือรหัสหลักของตัวจัดการรหัสผ่าน วลีจากคำสุ่มเป็นตัวเลือกที่ใช้ได้จริง คำสุ่ม 6 คำจากรายการ 7,776 คำให้ประมาณ 77.5 บิต และคำจำได้ง่ายกว่าสตริงสัญลักษณ์สุ่มมาก คำเหล่านั้นต้องสุ่มจริง คำ 4 คำที่คุณเลือกเองมีค่าน้อยกว่าที่จำนวนคำบอกมาก เพราะคนมักเลือกคำที่คุ้นเคยเป็นคู่ที่คุ้นเคย รายการคำที่ใช้ลูกเต๋าจึงเป็นที่นิยม เพราะลูกเต๋าเป็นตัวเลือก ไม่ใช่นิสัยของคุณ เครื่องมือสร้างรหัสผ่าน สร้างวลีรหัสผ่านด้วยวิธีนี้ โดยคุณเลือกตัวคั่นได้ และเพิ่มตัวพิมพ์ใหญ่หรือตัวเลขได้ตามต้องการ

การใช้ซ้ำคือความเสี่ยงที่ใหญ่กว่า

ความยาวสำคัญ แต่การใช้ซ้ำคือสิ่งที่มักทำให้ข้อมูลรั่วครั้งเดียวกลายเป็นหลายบัญชี เมื่อเว็บไซต์ถูกเจาะ คู่อีเมลกับรหัสผ่านมักถูกลองใช้กับเว็บยอดนิยมอื่น ๆ วิธีนี้เรียกว่า credential stuffing รหัสผ่านที่แข็งแรงบนกระดาษจะล้มเหลวทันทีหากคุณนำไปใช้ซ้ำที่อื่นด้วย

ตัวจัดการรหัสผ่านช่วยแก้ปัญหานี้ได้ มันสร้างรหัสผ่านที่ไม่ซ้ำให้แต่ละบัญชี เก็บไว้และกรอกให้อัตโนมัติ ทำให้คุณจำเพียงรหัสหลักที่แข็งแรงรหัสเดียว เบราว์เซอร์และระบบของโทรศัพท์มีตัวจัดการในตัว และยังมีแอปแยกต่างหากให้เลือกใช้ ไม่ว่าคุณจะเลือกแบบไหน ควรเปิดการยืนยันตัวตนสองขั้นตอนสำหรับอีเมลและบัญชีธนาคารก่อน เพราะบัญชีอีเมลคือกุญแจสำคัญในการรีเซ็ตบัญชีอื่น ๆ

NIST หน่วยงานมาตรฐานของสหรัฐฯ ให้ความสำคัญกับความยาวมากกว่ากฎความซับซ้อน เช่น การบังคับใส่สัญลักษณ์ และเลิกการบังคับเปลี่ยนรหัสเป็นระยะ ยกเว้นเมื่อมีสัญญาณว่ารหัสถูกเปิดเผย เว็บไซต์ที่บังคับให้คุณเปลี่ยนรหัสทุกสองสามเดือน หรือไม่ยอมให้ใช้รหัสยาวหรือการวางรหัส กำลังทำตามนิสัยแบบเก่า นั่นคือจุดอ่อนของเว็บไซต์ ไม่ใช่เหตุผลที่ควรเลือกรหัสที่อ่อนแอกว่า

เช็กลิสต์สั้น ๆ

• สร้างรหัสผ่านด้วยเครื่องมือ แทนการคิดขึ้นเอง
• สำหรับบัญชีที่กู้คืนได้ยาก ควรตั้งให้มีอย่างน้อย 16 อักขระสุ่ม หรือคำสุ่ม 6 คำ
• ใช้รหัสผ่านที่ไม่ซ้ำหนึ่งรหัสต่อหนึ่งบัญชี และเก็บไว้ในตัวจัดการรหัสผ่าน
• เปิดการยืนยันตัวตนสองขั้นตอนทุกที่ที่มีให้เลือก
• เปลี่ยนรหัสผ่านทันทีหากบริการที่คุณใช้แจ้งว่าข้อมูลรั่ว

หากเป็นรหัสผ่านของเราเตอร์ การแชร์ Wi-Fi ด้วยคิวอาร์โค้ด จะแสดงวิธีให้คนอื่นใช้โดยไม่ต้องอ่านรหัสออกเสียง

วิธีทำด้วย fixmint

1. เปิด เครื่องมือสร้างรหัสผ่าน และเลือก อักขระสุ่ม ไว้
2. ตั้ง ความยาว อย่างน้อย 16 และ 20 หรือมากกว่าสำหรับบัญชีที่สำคัญ ค่าเริ่มต้นคือ 20 โดยเลือกชุดอักขระทั้งสี่ชุด
3. อ่าน ความแข็งแรงโดยประมาณ เครื่องมือให้คะแนนต่ำกว่า 50 บิตว่าอ่อน 50 ถึง 69 ว่าพอใช้ 70 ถึง 99 ว่าแข็งแรง และ 100 บิตขึ้นไปว่าแข็งแรงมาก
4. กด สร้างใหม่ เพื่อให้ได้ชุดใหม่ 5 รหัส แล้วคัดลอกหนึ่งรหัสไปไว้ในตัวจัดการรหัสผ่าน อย่านำไปใช้ที่อื่น
5. สำหรับรหัสหลักที่ต้องพิมพ์ ให้เลือก วลีรหัสผ่าน ตั้ง จำนวนคำ เป็นหก และเลือกตัวคั่นที่คุณพิมพ์ได้

คำตอบสั้น ๆ

รหัสผ่านที่แข็งแรงจำเป็นต้องมีสัญลักษณ์หรือไม่

ไม่จำเป็น สัญลักษณ์สุ่มช่วยเพิ่มบิตได้บ้าง แต่ความยาวช่วยเพิ่มได้มากกว่า และสตริงตัวอักษรกับตัวเลขสุ่มที่ยาวก็แข็งแรงแล้ว

วลีรหัสผ่านที่แข็งแรงควรมีกี่คำ

คำสุ่ม 6 คำจากรายการ 7,776 คำให้ประมาณ 77.5 บิต ซึ่งเป็นเป้าหมายที่เหมาะสมสำหรับบัญชีส่วนใหญ่

ปล่อยให้เบราว์เซอร์บันทึกรหัสผ่านที่สร้างไว้ปลอดภัยหรือไม่

สำหรับคนส่วนใหญ่ถือเป็นทางเลือกที่สมเหตุสมผล หากอุปกรณ์มีการล็อกหน้าจอและโปรไฟล์เบราว์เซอร์ได้รับการป้องกัน ความเสี่ยงหลักอยู่ที่อุปกรณ์ ไม่ใช่ตัวรหัสผ่าน