Entropia Shannon și puterea parolei
Cele mai multe sfaturi privind parola se concentrează pe amestecarea majuscule, litere mici, numere și simboluri, dar acest lucru ratează măsura reală a puterii parolei: entropia, cantitatea de aleatorie măsurată în biți. Înțelegerea entropiei Shannon vă ajută să creați parole care rezistă cu adevărat atacurilor, adesea făcând opusul înțelepciunii convenționale.
Ce este entropia Shannon?
Entropia Shannon, numită după matematicianul Claude Shannon, cuantifică imprevizibilitatea într-un mesaj. Pentru parole, măsoară câte biți de informații sunt împachetate în parola dvs. Cu cât mai mulți biți, cu atât mai multe combinații posibile un atacator trebuie să încerce să ghicească. O parolă cu 64 de biți de entropie este astronomic mai greu de spart decât una cu 32 de biți, chiar dacă cea din urmă pare mai complexă.
Cum se calculează entropia
Entropia se calculează ca log2(possible_outcomes), unde posibil_outcomes este numărul total de parole unice pe care cineva le-ar putea genera folosind metoda dvs. O parolă extrasă dintr-un alfabet de 94 de caractere (minuscule, majuscule, cifre și simboluri) și 8 caractere are o entropie de aproximativ 52 de biți. Fiecare caracter suplimentar adaugă aproximativ 6,5 biți atunci când desenează din acel set de 94 de caractere.
Entropia crește logaritmic cu dimensiunea alfabetului, dar liniar cu lungimea. Acest lucru contează: extinderea alfabetului de la 26 la 52 de caractere dublează entropia, dar adăugarea unui caracter la lungime adaugă entropia proporțional de fiecare dată. Acesta este motivul pentru care lungimea este cea mai puternică pârghie pentru puterea parolei.
De ce lungimea bate simbolurile
O parolă de douăsprezece caractere care utilizează numai litere mici are mai multă entropie decât o parolă de opt caractere care utilizează litere mici, majuscule, cifre și simboluri. Matematica este simplă: fiecare caracter suplimentar la lungimea de 12 vă înmulțește posibilitățile cu 26. La lungimea de 8, adăugarea suportului pentru simboluri se înmulțește doar cu aproximativ 2. Mai lung este mai puternic.
O expresie de acces memorabilă, cum ar fi „elefanții din junglă luminați de lună înotând” (doar litere mici, 30 de caractere, extrase din aproximativ 170.000 de cuvinte comune în limba engleză) conține aproximativ 68 de biți de entropie. O parolă cu aspect aleatoriu precum „Kx7@mQ2p” (8 caractere, alfabet de 94 de caractere) are doar 52 de biți, dar expresia de acces este mai ușor de tastat și reținut.
Atingerea la 80 de biți de entropie
Specialiștii în securitate recomandă 80 de biți de entropie pentru parolele care protejează conturile sensibile. Iată căi concrete către 80 de biți:
- Folosind litere mici și cifre (alfabet de 36 de caractere): 13 caractere. Exemplu: moonlitjungle42elephant9swim
- Folosind litere mici, mari, cifre și simboluri (alfabet cu 94 de caractere): 12 caractere.
- Folosind o listă de cuvinte de 10.000 de cuvinte: 4 cuvinte. Exemplu: junglă-elefant-lună-înot
- Folosind o listă de cuvinte de 7.776 de cuvinte (standard pentru zaruri): 5 cuvinte.
Abordările bazate pe cuvinte câștigă pe memorabilitate și nu sunt mai puțin sigure din punct de vedere matematic.
Diceware: metoda dovedită
The metoda zarurilor creează fraze de acces cu entropie ridicată folosind zaruri fizice și o listă de cuvinte. Arunca cinci zaruri, caută numărul rezultat din cinci cifre în dicționarul de zaruri, notează cuvântul. Repetați de 5 ori pentru o expresie de acces pe 65 de biți; repeta de 6 ori pentru 78 de biti; De 7 ori pentru 91 de biți. Frazele de acces sunt memorabile, ușor de tastat și cu adevărat aleatorii într-un mod pe care oamenii nu îl pot realiza încercând să fie creativi.
Testează entropia parolei tale
Folosiți a verificator de putere a parolei pentru a măsura entropia oricărei parole în biți. Creați o parolă de test cu a generator de parole aleatorii și vezi câți biți conține. Încercați diferite lungimi și alfabete pentru a construi intuiția. O Calculator de entropie Shannon vă arată matematica: introduceți orice text și afișează biții de entropie conținute în interior.
Confidențialitate: instrumentele rulează local, nu pe un server
Fiecare instrument de pe TextArray rulează în întregime în browserul dvs. Parola dvs. nu este niciodată trimisă la un server, nu este niciodată conectată, nu este stocată niciodată, cu excepția propriului dispozitiv. Calculul entropiei are loc local. Puteți să vă deconectați de la internet și să generați în continuare parole și să le măsurați puterea. Această abordare doar locală înseamnă că parolele dvs. sunt numai ale dvs. și nicio urmă a acestora nu ajunge la un server terță parte.