เครื่องมือสร้างรหัสผ่านปลอดภัย

อะไรทำให้รหัสผ่านแข็งแรง?

สรุปสั้น: ความแข็งแรงของรหัสผ่านขึ้นอยู่กับสองสิ่ง — ความยาว และ ความสุ่มจริง รหัสผ่าน 16 ตัวอักษรที่ใช้ทุกประเภทอักขระจะมี entropy ประมาณ 102 bits เพียงพอที่จะต้านทานการโจมตี brute-force สมัยใหม่ได้นับพันล้านปี

1. ความยาวคือปัจจัยใหญ่ที่สุด

แต่ละตัวอักษรที่เพิ่มเข้าไปจะคูณจำนวนรหัสผ่านที่เป็นไปได้ด้วยขนาดชุดอักขระ การเพิ่มจาก 8 เป็น 16 ตัวอักษร (ชุด 83 ตัว) จะเพิ่ม entropy จาก 51 เป็น 102 bits การเพิ่มความยาวเป็นสองเท่าเพิ่มบิตเป็นสองเท่า แต่พื้นที่ค้นหาจริงเติบโตแบบเอ็กซ์โพเนนเชียล (จาก 2⁵¹ เป็น 2¹⁰² — ใหญ่ขึ้นนับล้านล้านเท่า)

2. ความสุ่มระดับการเข้ารหัส

เครื่องมือนี้ใช้ window.crypto.getRandomValues() ซึ่งเป็นตัวสร้างเลขสุ่ม ระดับการเข้ารหัส (CSPRNG) ในตัวของเบราว์เซอร์ ต่างจาก Math.random() ที่คาดเดาได้ CSPRNG สร้างผลลัพธ์ที่คาดเดาไม่ได้ เหมาะสำหรับงานด้านความปลอดภัย

3. ขนาดชุดอักขระ

ยิ่งมีหลายประเภทอักขระ ชุดยิ่งใหญ่ หมายถึง entropy ต่อตัวอักษรมากขึ้น เครื่องมือนี้ใช้ชุดสัญลักษณ์ 21 ตัว (!@#$%^&*()-_=+[]{}<>?) รวมเป็นชุด 83 ตัวอักษรเมื่อเปิดทุกประเภท

ตารางอ้างอิง Entropy

เวลาถอดรหัสคำนวณจากการโจมตี offline ที่ 10 พันล้านครั้งต่อวินาที (ค่าทั่วไปสำหรับ SHA-256 บน GPU) สำหรับ bcrypt หรือ Argon2id อัตราการถอดรหัสจริงจะช้ากว่าหลายล้านเท่า

มาตรฐานความปลอดภัย

NIST SP 800-63B (แนวทางดิจิทัลไอเดนติตี้) แนะนำให้ตรวจรหัสผ่านกับรายการที่รั่วไหลแล้ว อนุญาตข้อวลีรหัสผ่านยาวถึง 64 ตัวอักษร และไม่บังคับการเปลี่ยนรหัสผ่านเป็นระยะ หรือกฎความซับซ้อนตามอำเภอใจ สำหรับรหัสผ่านสุ่มที่สร้างขึ้น ผู้เชี่ยวชาญแนะนำให้เป้าหมาย entropy 80 bits ขึ้นไป

สำรวจคู่มือ

คำถามที่พบบ่อย

วิธีที่ปลอดภัยที่สุดในการสร้างรหัสผ่านคืออะไร?

ใช้เครื่องมือที่ขับเคลื่อนด้วย CSPRNG (เช่น window.crypto.getRandomValues()) กำหนดเป้าหมายอย่างน้อย 16 ตัวอักษรจากทุกประเภท (≈102 bits entropy) และจัดเก็บในตัวจัดการรหัสผ่าน อย่าประดิษฐ์รหัสผ่านเอง

Password entropy คืออะไร?

entropy วัดความคาดเดาไม่ได้ในหน่วยบิต คำนวณจาก ความยาว × log₂(ขนาดชุดอักขระ) รหัสผ่าน 16 ตัวอักษรจากชุด 83 ตัวจะมี 102 bits

รหัสผ่านควรมีกี่บิตของ entropy?

ผู้เชี่ยวชาญแนะนำอย่างน้อย 80 bits สำหรับการป้องกันที่แข็งแรง รหัสผ่านที่มากกว่า 100 bits จะทนทานต่อการโจมตี brute-force แม้ด้วยฮาร์ดแวร์ความเร็วสูง

เครื่องมือนี้ปลอดภัยไหม?

ปลอดภัย รหัสผ่านถูกสร้างทั้งหมดในเบราว์เซอร์ของคุณด้วย window.crypto.getRandomValues() ไม่มีอะไรถูกส่งไปยังเซิร์ฟเวอร์ใด ๆ

client-side หมายถึงอะไร?

หมายถึงทุกการประมวลผลเกิดขึ้นบนเครื่องของคุณเอง ไม่มีข้อมูลใดถูกส่งไปยังเซิร์ฟเวอร์ สิ่งนี้จำเป็นสำหรับเครื่องมือสร้างรหัสผ่าน เพราะหากสร้างฝั่งเซิร์ฟเวอร์ ผู้ดูแลอาจบันทึกได้