เครื่องทดสอบความแข็งแกร่งรหัสผ่าน
พิมพ์รหัสผ่าน (เบราว์เซอร์เท่านั้น ไม่ถูกส่ง) เครื่องทดสอบคำนวณ entropy ความครอบคลุมชุดอักขระ ความเสี่ยงจากพจนานุกรม และแสดงเวลาเจาะโดยประมาณสำหรับการโจมตี GPU offline ขีดจำกัด API ออนไลน์ และการโจมตีออนไลน์ช้า
วิธีการทำงาน
'Entropy' หมายความว่าอะไรสำหรับรหัสผ่าน
Entropy วัดความไม่สามารถคาดเดาได้เป็นบิต รหัสผ่านที่มี entropy 30 บิตต้องใช้ ~2³⁰ ≈ 1 พันล้านการเดาโดยเฉลี่ยในการเจาะ 70+ บิตโดยทั่วไปถือว่าแข็งแกร่ง 80+ บิตยอดเยี่ยม
สูตร: entropy = ความยาว × log₂(ขนาด charset) 'abcdefgh' (8 ตัว ตัวพิมพ์เล็กเท่านั้น) = 8 × log₂(26) ≈ 37.6 บิต 'aA1!aaaa' (8 ตัว ทุก charset) = 8 × log₂(95) ≈ 52.6 บิต — แต่เวลาเจาะแย่กว่าที่ 52 บิตบ่งบอกเพราะ 'aaaa' เป็นรูปแบบทั่วไป
ทำไมเวลาเจาะจึงแตกต่างกันมาก
GPU offline: แฮชรหัสผ่านที่รั่วไหลถูกโจมตีแบบ offline GPU สมัยใหม่สามารถเดาแฮช MD5 ได้ 10⁹+ ครั้ง/วินาที แฮช bcrypt เฉพาะ 10⁴-10⁵/วินาที การประมาณนี้ใช้สมมติฐานแฮชเร็ว-GPU
ออนไลน์เร็ว: ผู้โจมตีโจมตี API ล็อกอินโดยตรง API ส่วนใหญ่มีขีดจำกัดอัตรา 1,000 ครั้ง/วินาทีเป็นการประมาณสูงสุดสำหรับ endpoint ที่ป้องกันไม่ดี
ออนไลน์ช้า: endpoint ที่ป้องกันถูกต้องพร้อมขีดจำกัดอัตราเข้มงวด การล็อกบัญชี และ CAPTCHA 100 ครั้ง/วินาทีใจกว้าง หลายระบบอนุญาตเพียง 5-10 ครั้ง/นาที
การประมาณเหล่านี้ไม่รวมปัจจัยโลกจริงอย่างการโจมตีด้วยพจนานุกรม (ซึ่งค้นหารหัสผ่านทั่วไปเร็วกว่า brute force มาก) และการนำรหัสผ่านไปใช้ซ้ำ
อะไรทำให้รหัสผ่านแข็งแกร่ง
ความยาวชนะความซับซ้อน: passphrase 16 ตัวอักษรอย่าง 'แมวสีดำกินข้าวเย็น' แข็งแกร่งกว่ารหัสผ่าน 8 ตัวที่ซับซ้อนอย่าง 'P@ssw0rd!' XKCD จาก 2011 ยังถูกต้อง: 4 คำสุ่มให้ ~44 บิต entropy
หลีกเลี่ยงรูปแบบ: วันที่ ชื่อ '123' 'qwer' อักขระซ้ำล้วนลด entropy จริงต่ำกว่าค่าสูตร เครื่องมือโจมตีรวมการเปลี่ยนแปลงตามกฎอย่างละเอียด (เช่น 'password' → 'P@ssw0rd!')
ใช้ password manager: มนุษย์เลือกรูปแบบ manager ไม่เลือก Bitwarden, 1Password, KeePass สร้างรหัสผ่านสุ่มจริง ๆ ต่อเว็บไซต์ด้วย 16+ ตัวอักษรในทุก charset รหัสผ่านเดียวที่ต้องจำคือ master password — และนั้นควรเป็น passphrase ยาวที่จำได้
คำถามที่พบบ่อย
›รหัสผ่านของฉันถูกส่งออกไปไหม?
ไม่ ทุกอย่างทำงานในเครื่องของคุณ เราไม่เห็น เก็บ หรือส่งรหัสผ่านของคุณ
›ทำไมรหัสผ่านยาวของฉันถึงมี entropy ต่ำ?
ความยาวไม่ใช่ทุกอย่าง — การซ้ำ 'a' 50 ครั้งมี entropy จริงต่ำมาก เครื่องคำนวณใช้สูตรง่ายแต่ตั้งค่าสถานะรูปแบบซ้ำ/ลำดับ เพื่อผลลัพธ์ที่ดีที่สุด: ยาว หลากหลาย ไม่มีรูปแบบ
›เวลาเจาะเหล่านี้แม่นยำไหม?
เป็นการประมาณจาก brute force แบบธรรมดา Cracker จริงใช้พจนานุกรม รูปแบบทั่วไป และฐานข้อมูลรหัสผ่านที่รั่วไหลก่อน — ดังนั้นรหัสผ่าน 'ทั่วไป' อาจเจาะได้ในไม่กี่วินาทีแม้มี formula entropy สูง
›ควรกังวลเรื่อง quantum computer ไหม?
ในที่สุดใช่ — อัลกอริทึม Grover ลดบิตที่มีผลของการเข้ารหัสแบบ symmetric ลงครึ่งหนึ่ง สำหรับตอนนี้ entropy 80+ บิตสบายใจ 128+ สำหรับความลับระยะยาวมาก
›ทำไมเครื่องมือตั้งค่าสถานะ 'P@ssw0rd1' แม้มีทุก charset?
เพราะ 'password' อยู่ในพจนานุกรมและการแทนที่ง่าย ๆ (a → @) เป็นส่วนหนึ่งของ rule set ทุก cracking tool ใช้รหัสผ่านสุ่มจริง ๆ หรือแบบ passphrase ไม่ใช่การแทนที่คำทั่วไป
›'correct horse battery staple' ปลอดภัยจริงไหม?
พอสมควร 4 คำสุ่มจากรายการ 7,000 คำ = ~52 บิต entropy แข็งแกร่งกว่ารหัสผ่านซับซ้อน 8 ตัวส่วนใหญ่ แต่เมื่อมันโด่งดัง (อย่างตัวอย่างนี้) มันอยู่ในพจนานุกรมแล้ว — เลือกคำสุ่มของคุณเอง
›ความยาวรหัสผ่านขั้นต่ำที่ควรใช้คือเท่าไร?
8 เป็นขั้นต่ำสุด (และเฉพาะกับทุก charset) 12+ แนะนำสำหรับบัญชีส่วนใหญ่ 16+ สำหรับบัญชีสำคัญ (อีเมล ธนาคาร master ของ password manager)
›ความแตกต่างของตัวพิมพ์ใหญ่เล็กสำคัญไหม?
ใช่ — การเพิ่มตัวพิมพ์ใหญ่เพิ่มขนาด charset จาก 26 เป็น 52 ประมาณ +1 บิตต่ออักขระ การผสมตัวพิมพ์ใหญ่เล็กอย่างมีนัยสำคัญ (ไม่ใช่แค่ตัวแรก) คุ้มค่า
เครื่องมือที่เกี่ยวข้อง
อัปเดตล่าสุด: