Kako ustvariti močno geslo (in zakaj je eno šibko)
Močno geslo je tisto, ki ga je težko uganiti ali razbiti. Toda "težko" ne pomeni veliko simbolov in številk, pomešanih skupaj - pomeni entropijo: dovolj naključne dolžine, da bi celo hiter računalnik, ki preverja milijarde kombinacij, potreboval stoletja. Najpreprostejši način, da pridete tja, je uporaba lokalnega generatorja gesel, ki zagotavlja, da naključnost izvira iz kriptografije, ne pa iz predvidljivega algoritma.
Kaj naredi geslo šibko
Večina gesel je šibkih, ker temeljijo na nečem nepozabnem: imenu, datumu, besedi z veliko začetnico in številko na koncu. Če geslo temelji na vzorcu – resnični besedi, rojstnem dnevu, frazi – je prvo orodje sodobnega napadalca slovar teh vzorcev, ne groba sila. celo MyDog2024! človeku je videti naključno, vendar takoj poči, ker sledi najpogostejšemu receptu za geslo.
Drugi morilec: ponovna uporaba. Če uporabljate isto geslo na desetih spletnih mestih in je eno od teh spletnih mest vlomljeno, vseh deset računov pade. Mnogi ljudje nimajo pojma, koliko podatkovnih baz »izpisov gesel« je javnih in jih je mogoče iskati na spletu.
Dolžina je pomembnejša od posebnih znakov
Pogost mit: gesla potrebujejo mešanico velikih in malih črk, številk in simbolov, da so varna. V resnici je pomembna dolžina. 16-mestno geslo z malimi črkami ima samo veliko več entropije - in ga je veliko težje razbiti - kot 8-mestno geslo z vsakim posebnim znakom. Evo zakaj: vsak dodan znak pomnoži iskalni prostor. 8-mestno geslo, sestavljeno samo iz malih črk, ima 26^8 možnosti (približno 200 milijonov). 16-mestno geslo z malimi črkami ima 26^16 (približno 43 kvadrilijonov).
Zato mnogi varnostni strokovnjaki zdaj priporočajo gesla — zaporedja naključnih besed — namesto tradicionalnih "kompleksnih" gesel. Lažje si jih je zapomniti in veliko močnejši.
Gesla: pristop Diceware
Geslo je samo zaporedje naključnih besed. Klasičen primer je "correct-horse-battery-staple": štiri naključne besede, 20+ znakov, absurdno močne in si jih ni tako težko zapomniti. Ustvarite lahko naključna gesla z Generator gesel, ki jih sestavi iz seznama pogostih angleških besed. Pet besed s seznama 1000 vam daje več entropije kot 20-mestni naključni niz mešanih velikih in malih črk in simbolov.
Če potrebujete tradicionalno geslo – simboli, mešane male in male črke, številke – uporabite Generator gesel namesto tega. Toda za večino računov je fraza močnejša in bolj praktična.
Nehajte ponovno uporabljati gesla
Edina najboljša navada je: eno geslo na spletno mesto. Če znova uporabljate gesla, živite v izposojenem času. Ko eno spletno mesto pricurlja, so razkriti drugi vaši računi. Močno geslo je tako dobro kot najšibkejša stran, ki ga uporablja. Če želite preveriti, ali je bilo katero od vaših gesel razkrito v znani kršitvi, uporabite Preverjevalnik moči gesla — prilepite geslo (vidite ga samo vi; nič ne zapusti brskalnika) in povedalo vam bo, ali se pojavi v javnih zbirkah podatkov o kršitvah.
PIN in številska gesla
Nekateri sistemi zahtevajo samo številke – bankomati, telefonske kode PIN, določene ključavnice. Velja isto entropijsko načelo: dlje je močnejše. 4-mestna koda PIN ima le 10.000 možnosti, ki jih je mogoče razbiti v milisekundah. 6-mestna koda PIN je boljša (1 milijon možnosti); 8-mestni PIN je soliden (100 milijonov). Če potrebujete naključno številčno kodo, PIN generator jih ustvari takoj.
Zakaj ustvarjati lokalno
Nikoli ne zaupajte generatorju gesel na strežniku nekoga drugega. Tudi če je dobronamerno, ne morete preveriti, ali uporablja resnično naključnost ali da ne beleži, kar ustvari. Orodja TextArray se v celoti izvajajo v vašem brskalniku — ni strežnika, nalaganja ali dnevnika. Generator gesel uporablja vaš brskalnik crypto.getRandomValues, kar je resnično naključno, ne Math.random, kar je predvidljivo in nikoli sprejemljivo za varnost. Ko se stran naloži, vse deluje brez povezave. Potrdite ga lahko sami, tako da prekinete internetno povezavo in ustvarite drugo geslo.
Močno geslo se začne z resnično naključnostjo, dovolj dolgo, da ima resnično entropijo, in disciplino, da povsod uporabite drugačno. Naj brskalnik opravi trdo delo.