Tentang kata sandi yang kuat | Entropi, frasa sandi, dan diceware

Entropi: menghitung tebakan

Kekuatan kata sandi diukur dalam bit entropi. Kata sandi yang dipilih acak dari N kemungkinan memiliki log2(N) bit, dan setiap bit tambahan menggandakan kerja penyerang. Kata sandi acak 12 karakter dari 94 karakter yang dapat dicetak memiliki sekitar 79 bit. Kuncinya ada pada kata acak: kata sandi yang dipilih orang, seperti nama dengan tahun dan tanda seru, memiliki jauh lebih sedikit bit daripada kesan panjangnya, karena penyerang mencoba pola seperti itu lebih dulu.

Diceware dan frasa sandi

Pada 1995 Arnold Reinhold menerbitkan diceware: lempar lima dadu untuk memilih kata dari daftar 7776 kata, lalu ulangi. Setiap kata menambah sekitar 12,9 bit, jadi enam kata memberi sekitar 77 bit dan tetap mudah diketik. Electronic Frontier Foundation menerbitkan daftar kata yang lebih baik pada 2016, dan pembuat ini memakai daftar besarnya. Ide ini terkenal lewat komik tahun 2011 yang membandingkan correct horse battery staple dengan Tr0ub4dor&3 yang sulit diingat tetapi lemah.

Apa kata pedoman

NIST Digital Identity Guidelines (SP 800-63B) lebih mengutamakan panjang daripada aturan komposisi: izinkan kata sandi dan frasa sandi panjang, periksa kata sandi baru terhadap daftar kebocoran, dan jangan paksakan penggantian berkala tanpa alasan. Aturan kerumitan yang dipaksakan sebagian besar menghasilkan pola yang mudah ditebak. Panjang dengan keacakan sejati, dan kata sandi berbeda untuk setiap situs, jauh lebih penting.

Seberapa cepat penyerang menebak

Saat sebuah situs dibobol, penyerang mencoba tebakan secara offline terhadap hash yang dicuri. Dengan hash cepat dan kartu grafis modern, itu bisa miliaran tebakan per detik, asumsi di balik waktu pembobolan yang ditampilkan di sini. Hash lambat seperti bcrypt atau Argon2 sangat menurunkan laju itu, tetapi Anda tidak tahu apa yang dipakai sebuah situs. Targetkan minimal 70 sampai 80 bit, kata sandi unik, pengelola kata sandi, dan autentikasi dua faktor.

Pertanyaan yang sering diajukan

Seberapa panjang kata sandi seharusnya?

Untuk kata sandi acak dengan huruf, angka, dan simbol, 16 karakter atau lebih memberi lebih dari 100 bit. Untuk frasa sandi, gunakan minimal 5 atau 6 kata acak. Panjang adalah cara termudah menambah kekuatan.

Apakah penggantian seperti P@ssw0rd kuat?

Tidak. Penyerang mengenal penggantian umum dan mencobanya secara otomatis, jadi manfaatnya sangat kecil. Keacakan sejatilah yang membuat kata sandi kuat.

Haruskah saya rutin mengganti kata sandi?

Pedoman saat ini mengatakan tidak, kecuali ada alasan seperti kebocoran. Penggantian paksa yang sering cenderung menghasilkan kata sandi yang lebih lemah dan mudah ditebak. Gunakan kata sandi unik dan ganti jika mungkin bocor.

Related alat

Pembuat kata sandi

Pembuat kata sandi gratis: kata sandi dan frasa sandi acak yang kuat dari crypto.getRandomValues, dengan panjang, set karakter, pengecualian karakter mirip, pembuatan massal, entropi, meter kekuatan, dan waktu pembobolan. Tidak ada yang disimpan atau dikirim.