Om stærke adgangskoder | Entropi, adgangssætninger og diceware

Entropi: at tælle gæt

Styrken af en adgangskode måles i bit entropi. En adgangskode valgt tilfældigt blandt N muligheder har log2(N) bit, og hver ekstra bit fordobler angriberens arbejde. En tilfældig adgangskode på 12 tegn blandt 94 tegn har omkring 79 bit. Pointen ligger i ordet tilfældig: en adgangskode, som et menneske selv vælger, fx et navn med et årstal og et udråbstegn, har langt færre bit, end længden antyder, fordi angribere prøver de mønstre først.

Diceware og adgangssætninger

I 1995 udgav Arnold Reinhold diceware: slå med fem terninger for at vælge et ord fra en liste på 7776, og gentag. Hvert ord giver omkring 12,9 bit, så seks ord giver omkring 77 bit og er stadig lette at skrive. Electronic Frontier Foundation udgav forbedrede ordlister i 2016, og denne generator bruger dens store liste. Idéen blev berømt med tegneserien fra 2011, der sammenlignede correct horse battery staple med den svære at huske, men svage Tr0ub4dor&3.

Hvad retningslinjerne siger

NIST Digital Identity Guidelines (SP 800-63B) foretrækker længde frem for sammensætningsregler: tillad lange adgangskoder og sætninger, tjek nye adgangskoder mod lister over lækkede, og kræv ikke periodiske skift uden grund. Påtvungne kompleksitetsregler fører mest til forudsigelige mønstre. Længde med ægte tilfældighed og en ny adgangskode til hvert websted betyder meget mere.

Hvor hurtigt angribere gætter

Når et websted bliver hacket, prøver angribere gæt offline mod de stjålne hashes. Med hurtige hashes og moderne grafikkort kan det være milliarder af gæt i sekundet, som er antagelsen bag knæktiden her. Langsomme hashes som bcrypt eller Argon2 sænker tempoet meget, men du ved ikke, hvad et websted bruger. Gå efter mindst 70 til 80 bit, unikke adgangskoder, en adgangskodeadministrator og totrinsbekræftelse.

Ofte stillede spørgsmål

Hvor lang skal en adgangskode være?

For en tilfældig adgangskode med bogstaver, cifre og symboler giver 16 tegn eller flere over 100 bit. For en adgangssætning skal du bruge mindst 5 eller 6 tilfældige ord. Længde er den nemmeste måde at øge styrken på.

Er udskiftninger som P@ssw0rd stærke?

Nej. Angribere kender de almindelige udskiftninger og prøver dem automatisk, så de tilføjer meget lidt. Ægte tilfældighed gør en adgangskode stærk.

Skal jeg skifte adgangskoder jævnligt?

Nuværende retningslinjer siger nej, medmindre der er en grund som et læk. Hyppige tvungne skift giver ofte svagere og mere forudsigelige adgangskoder. Brug unikke adgangskoder, og skift en, hvis den kan være lækket.