Shannon-entropie en wachtwoordsterkte

Het meeste wachtwoordadvies richt zich op het combineren van hoofdletters, kleine letters, cijfers en symbolen, maar dit gaat voorbij aan de echte maatstaf voor wachtwoordsterkte: entropie, de hoeveelheid willekeur gemeten in bits. Als u de Shannon-entropie begrijpt, kunt u wachtwoorden maken die daadwerkelijk aanvallen weerstaan, vaak door het tegenovergestelde te doen van conventionele wijsheid.

Wat is Shannon-entropie?

Shannon-entropie, genoemd naar wiskundige Claude Shannon, kwantificeert de onvoorspelbaarheid van een bericht. Voor wachtwoorden meet het hoeveel stukjes informatie er in uw wachtwoord zijn verpakt. Hoe meer bits, hoe meer mogelijke combinaties een aanvaller moet proberen te raden. Een wachtwoord met 64 bits entropie is astronomisch moeilijker te kraken dan een wachtwoord met 32 bits, ook al ziet dit laatste er complexer uit.

Hoe entropie wordt berekend

Entropie wordt berekend als log₂(mogelijke_uitkomsten), waarbij mogelijke_uitkomsten het totale aantal unieke wachtwoorden is dat iemand met uw methode zou kunnen genereren. Een wachtwoord dat is samengesteld uit een alfabet van 94 tekens (kleine letters, hoofdletters, cijfers en symbolen) en 8 tekens lang, heeft een entropie van ongeveer 52 bits. Elk extra teken voegt ongeveer 6,5 bits toe bij het tekenen uit die set van 94 tekens.

Entropie groeit logaritmisch met de alfabetgrootte, maar lineair met de lengte. Dit is belangrijk: het uitbreiden van je alfabet van 26 naar 52 tekens verdubbelt de entropie, maar als je één teken aan de lengte toevoegt, wordt de entropie elke keer proportioneel toegevoegd. Dit is de reden waarom lengte de krachtigste hefboom is voor wachtwoordsterkte.

Waarom lengte belangrijker is dan symbolen

Een wachtwoord van twaalf tekens dat alleen kleine letters gebruikt, heeft meer entropie dan een wachtwoord van acht tekens dat kleine letters, hoofdletters, cijfers en symbolen gebruikt. De wiskunde is eenvoudig: elk extra teken op lengte 12 vermenigvuldigt uw mogelijkheden met 26. Op lengte 8 wordt het toevoegen van symboolondersteuning slechts met ongeveer 2 vermenigvuldigd. Langer is sterker.

Een gedenkwaardige wachtwoordzin zoals 'maanverlichte jungle-olifanten zwemmen' (alleen kleine letters, 30 tekens, ontleend aan ongeveer 170.000 gewone Engelse woorden) bevat ongeveer 68 bits entropie. Een willekeurig uitziend wachtwoord zoals "Kx7@mQ2p" (8 tekens, alfabet van 94 tekens) heeft slechts 52 bits, maar de wachtwoordzin is gemakkelijker te typen en te onthouden.

Het bereiken van 80 bits entropie

Beveiligingsspecialisten raden 80 bits entropie aan voor wachtwoorden die gevoelige accounts beschermen. Hier zijn concrete paden naar 80 bits:

1. Met kleine letters en cijfers (alfabet van 36 tekens): 13 tekens. Voorbeeld: maanverlichtejungle42elephant9swim
2. Gebruik van kleine letters, hoofdletters, cijfers en symbolen (alfabet van 94 tekens): 12 tekens.
3. Bij gebruik van een woordenlijst van 10.000 woorden: 4 woorden. Voorbeeld: jungle-olifant-maanverlicht-zwemmen
4. Met behulp van een woordenlijst van 7.776 woorden (diceware-standaard): 5 woorden.

De op woorden gebaseerde benaderingen winnen qua memorabiliteit en zijn wiskundig gezien niet minder veilig.

Diceware: de beproefde methode

De diceware-methode creëert wachtwoordzinnen met een hoge entropie met behulp van fysieke dobbelstenen en een woordenlijst. Gooi vijf dobbelstenen, zoek het resulterende vijfcijferige getal op in het diceware-woordenboek en schrijf het woord op. Herhaal dit vijf keer voor een 65-bits wachtwoordzin; herhaal 6 keer voor 78 bits; 7 keer voor 91 bits. De wachtwoordzinnen zijn gedenkwaardig, gemakkelijk te typen en werkelijk willekeurig op een manier die mensen niet kunnen bereiken door creatief te zijn.

Test de entropie van uw wachtwoord

Gebruik een wachtwoordsterktecontrole om de entropie van elk wachtwoord in bits te meten. Maak een testwachtwoord met a willekeurige wachtwoordgenerator en kijk hoeveel bits het bevat. Probeer verschillende lengtes en alfabetten om intuïtie op te bouwen. A Entropiecalculator van Shannon toont je de wiskunde: voer een willekeurige tekst in en het toont de stukjes entropie die erin zitten.

Privacy: tools draaien lokaal, niet op een server

Elke tool op TextArray draait volledig in uw browser. Uw wachtwoord wordt nooit naar een server verzonden, nooit geregistreerd en nooit ergens anders opgeslagen dan op uw eigen apparaat. De entropieberekening gebeurt lokaal. U kunt de verbinding met internet verbreken en toch wachtwoorden genereren en de sterkte ervan meten. Deze benadering die alleen lokaal is, betekent dat uw wachtwoorden alleen van u zijn en dat geen enkel spoor ervan een server van derden bereikt.