คู่มือสร้างรหัสผ่าน: รหัสผ่านแข็งแรง วลีรหัสผ่าน และเอนโทรปีคืออะไร

วิธีใช้เครื่องมือสร้างรหัสผ่าน

ทุกอย่างอยู่ในหน้าจอเดียวและทำงานบนเครื่องของคุณเอง เริ่มจากเลือก "รหัสผ่าน" หรือ "วลีรหัสผ่าน" ด้านบน ถ้าเป็นรหัสผ่าน ให้เลื่อนแถบความยาวได้ตั้งแต่ 4 ถึง 64 ตัว แล้วเปิดชนิดตัวอักษรที่ต้องการ ได้แก่ ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์ ชนิดที่เปิดไว้จะมีอย่างน้อยหนึ่งตัวเสมอ จึงผ่านกฎของเว็บที่บังคับให้มีตัวใหญ่ ตัวเลข หรือสัญลักษณ์ ถ้าต้องอ่านรหัสให้คนอื่นฟังหรือพิมพ์ตามหน้าจอ ให้เปิด "ตัดตัวที่หน้าตาคล้ายกัน" เพื่อไม่ใช้ 0, O, 1, l และ I

ถ้าเป็นวลีรหัสผ่าน ให้เลือกจำนวนคำ (3 ถึง 8 คำ) ตัวคั่นระหว่างคำ และเลือกว่าจะขึ้นต้นแต่ละคำด้วยตัวใหญ่และใส่ตัวเลขหรือไม่ จากนั้นเลือก "1 อัน" หรือ "ทีละ 5 อัน" แล้วกดสร้าง ผลลัพธ์แต่ละอันมีปุ่มคัดลอกของตัวเอง และแถบความแข็งแรงด้านล่างจะแสดงเอนโทรปีเป็นบิต ระดับความแข็งแรง และเวลาที่คาดว่าจะใช้แฮ็ก

• เลือกรหัสผ่านหรือวลีรหัสผ่าน
• ตั้งความยาวหรือจำนวนคำ
• เลือกชนิดตัวอักษร หรือตัวคั่นและตัวเลือกอื่น
• กดสร้างแล้วคัดลอกอันที่ชอบ
• บันทึกลงโปรแกรมจัดการรหัสผ่านทันที

รหัสผ่านที่แข็งแรงเป็นแบบไหน

ความแข็งแรงขึ้นอยู่กับว่าผู้โจมตีต้องลองกี่แบบ ไม่ใช่ว่ารหัสผ่านดูซับซ้อนแค่ไหน P@ssw0rd! ดูยุ่งเหยิง แต่โปรแกรมแฮ็กจะลองคำยอดนิยมที่เปลี่ยนตัวอักษรแบบเดิมๆ ก่อน จึงโดนเจาะภายในไม่กี่วินาที ส่วนข้อความที่สุ่มจริงต่างออกไป ตัวอักษรทุกตัวถูกเลือกอย่างอิสระ และทุกตัวที่เพิ่มขึ้นจะคูณจำนวนความเป็นไปได้ ความยาวจึงสำคัญกว่าความแพรวพราว แค่เพิ่มรหัสสุ่มจาก 12 เป็น 16 ตัว ก็เดายากขึ้นหลายสิบล้านเท่า

อีกครึ่งหนึ่งคือความสุ่ม คนเรามักใช้วันเกิด ชื่อสัตว์เลี้ยง ลำดับแป้นพิมพ์อย่าง qwerty และใช้รูปแบบโปรดแบบเดียวกันทุกเว็บ ซึ่งผู้โจมตีรู้นิสัยเหล่านี้หมดแล้ว เครื่องมือนี้ใช้ตัวสุ่มแบบเข้ารหัสของเบราว์เซอร์ (crypto.getRandomValues) ร่วมกับเทคนิคที่เรียกว่า rejection sampling ทำให้ตัวอักษรที่อนุญาตทุกตัวมีโอกาสออกเท่ากันทุกประการ ไม่มีรูปแบบให้จับ และไม่มีความเอนเอียงให้ใช้ประโยชน์

ส่วนผสมที่สามคือห้ามใช้ซ้ำ ต่อให้รหัสผ่านสมบูรณ์แบบแค่ไหน ถ้าใช้หลายที่ก็อ่อนแอทันที เพราะเมื่อเว็บหนึ่งข้อมูลรั่ว ผู้โจมตีจะเอารหัสนั้นไปลองกับทุกเว็บ หนึ่งบัญชี หนึ่งรหัสผ่าน

วลีรหัสผ่าน: แข็งแรงและจำง่ายกว่า

วลีรหัสผ่านคือคำสุ่มไม่กี่คำต่อกัน เหมือนประโยคสั้นๆ ที่ไม่มีความหมาย หัวใจสำคัญคือคำต้องถูกเลือกด้วยความบังเอิญ ไม่ใช่เราเลือกเอง เนื้อเพลงหรือคำคมดังๆ ไม่สุ่มเลย เครื่องมือนี้สุ่มแต่ละคำจากรายการคำภาษาอังกฤษสั้นๆ 2,048 คำในแอป แต่ละคำจึงเพิ่มเอนโทรปีได้ 11 บิตพอดี ห้าคำได้ 55 บิต หกคำได้ 66 บิต และการใส่ตัวเลขสุ่มจะเพิ่มอีกไม่กี่บิต

วลีรหัสผ่านเหมาะกับความลับไม่กี่อย่างที่เราต้องพิมพ์เองหรือจำให้ได้ เช่น รหัสหลักของโปรแกรมจัดการรหัสผ่าน รหัสเข้าคอมพิวเตอร์ หรือรหัสสำรองข้อมูลมือถือ เพราะยาวจึงแข็งแรง และเพราะเป็นคำจริงจึงพิมพ์บนคีย์บอร์ดมือถือง่ายกว่าสัญลักษณ์ยุ่งๆ มาก การขึ้นต้นคำด้วยตัวใหญ่ไม่ได้ช่วยให้แข็งแรงขึ้นเพราะเดารูปแบบได้ แต่มีประโยชน์กับเว็บที่บังคับให้มีตัวพิมพ์ใหญ่

เข้าใจเอนโทรปีและเวลาที่ใช้แฮ็ก

เอนโทรปีวัดเป็นบิต บอกว่ารหัสผ่านถูกสุ่มมาจากความเป็นไปได้ที่โอกาสเท่ากันกี่แบบ ทุกหนึ่งบิตทำให้จำนวนเพิ่มเป็นสองเท่า 60 บิตจึงประมาณหนึ่งล้านล้านล้านแบบ และ 80 บิตมากกว่านั้นอีกราวหนึ่งล้านเท่า แถบความแข็งแรงคำนวณค่านี้จากการตั้งค่าของคุณอย่างแม่นยำ สำหรับรหัสผ่านจะนับทุกข้อความตามความยาวที่เลือกซึ่งมีตัวอักษรของทุกชนิดที่เลือกอย่างน้อยหนึ่งตัว สำหรับวลีรหัสผ่านจะคูณจำนวนแบบของคำกับตำแหน่งและค่าของตัวเลขที่เพิ่ม

เวลาที่ใช้แฮ็กสมมติว่าเป็นการโจมตีแบบออฟไลน์ที่เร็วมาก ลองได้วินาทีละ 1 หมื่นล้านครั้ง ซึ่งการ์ดจอรุ่นใหม่ใบเดียวก็ทำได้เมื่อโจมตีฐานข้อมูลรหัสผ่านที่หลุดออกมาและป้องกันไว้ไม่ดี โดยเฉลี่ยผู้โจมตีจะเจอรหัสเมื่อลองไปได้ครึ่งหนึ่งของความเป็นไปได้ทั้งหมด และยังสมมติว่าผู้โจมตีรู้การตั้งค่าที่คุณใช้ จึงไม่ประเมินให้ดูดีเกินจริง โดยคร่าวๆ ต่ำกว่า 45 บิตคืออ่อน 45 ถึง 60 คือพอใช้ 60 ถึง 80 คือแข็งแรง และ 80 ขึ้นไปคือแข็งแรงมาก

• บัญชีใช้ครั้งเดียวหรือไม่สำคัญ: 45 ถึง 60 บิต
• บัญชีทั่วไปอย่างช้อปปิ้งและโซเชียล: 60 ถึง 80 บิต
• อีเมล ธนาคาร งาน และโปรแกรมจัดการรหัสผ่าน: 80 บิตขึ้นไป

โปรแกรมจัดการรหัสผ่านและการยืนยันตัวตน 2 ขั้น

ไม่มีใครจำรหัสผ่านสุ่มที่ไม่ซ้ำกันหลายสิบอันได้ และไม่ควรพยายามด้วย โปรแกรมจัดการรหัสผ่านจะเก็บรหัสไว้ในตู้เซฟที่เข้ารหัส กรอกให้อัตโนมัติบนเว็บที่ถูกต้อง และเตือนเมื่อมีรหัสที่ใช้ซ้ำหรือรั่วไหล สร้างรหัสผ่านแข็งแรงที่นี่ แล้ววางลงในโปรแกรมตอนสมัครหรือเปลี่ยนรหัส คุณก็ไม่ต้องเห็นมันอีก ส่วนตัวโปรแกรมเองให้ป้องกันด้วยวลีรหัสผ่านยาวๆ ที่คุณจำได้

การยืนยันตัวตน 2 ขั้น (2FA) เพิ่มอีกหนึ่งด่าน เช่น รหัสจากแอปยืนยันตัวตน พาสคีย์ หรือกุญแจความปลอดภัยแบบฮาร์ดแวร์ ต่อให้รหัสผ่านหลุด ผู้โจมตีก็เข้าบัญชีไม่ได้ ให้เปิดที่อีเมลก่อน เพราะบัญชีอื่นส่วนใหญ่รีเซ็ตรหัสผ่านผ่านอีเมล

• ใช้รหัสผ่านไม่ซ้ำกันในทุกบัญชี
• เก็บรหัสผ่านในโปรแกรมจัดการรหัสผ่าน ไม่ใช่ในโน้ต แชต หรือภาพหน้าจอ
• เปิด 2FA หรือพาสคีย์ทุกที่ที่มีให้ เริ่มจากอีเมล
• เปลี่ยนรหัสทันทีเมื่อบริการแจ้งว่าข้อมูลรั่วไหล
• อย่าส่งรหัสผ่านทางข้อความหรืออีเมล และระวังลิงก์เข้าสู่ระบบที่ไม่ได้คาดไว้