مولد كلمات المرور عبر الإنترنت: قم بإنشاء كلمات مرور قوية تنجو فعليًا من الهجوم

النصيحة أدناه تتبع نيست SP 800-63B، مما أسقط قواعد التكوين الإلزامية والتناوب القسري لصالح الطول والفحص مقابل كلمات المرور المخالفة.

في مكان ما في عام 2020 تقريبًا، خلال سنوات WP Adminify، أمضيت يوم ثلاثاء طويلًا جدًا في تنظيف موقع WordPress الخاص بالعميل &#39؛ الذي كان يقدم بهدوء رسائل غير مرغوب فيها للأدوية إلى Googlebot لمدة ثلاثة أسابيع. كانت نقطة الدخول &#39؛ثغرة أمنية في البرنامج المساعد. لقد كان &#39؛t صفر يوم. لقد كان حساب المسؤول - اسم المستخدم admin، كلمة المرور Sumon1985@. الاسم الأول لمالك الموقع &#39؛ وسنة ميلاده مع @ مثبت بإرضاء &quot؛ شخصية خاصة وحاصل؛ قاعدة. سار روبوت حشو بيانات الاعتماد مباشرة wp-login.php. أظهرت سجلات الوصول 11000 محاولة تسجيل دخول فردية على مدار أربعة أيام قبل وصول إحدى المحاولات. تنظيف التعليمات البرمجية المحقونة من ملفات السمات و wp_options أخذتني الطاولة إلى الجزء الأفضل من عطلة نهاية الأسبوع.

لقد غيرت هذه الوظيفة طريقة تفكيري في كلمات المرور. ليس لأن الهجوم كان معقدًا - بل كان عكسًا للهجوم المتطور. لقد كان نصًا يطرق نموذج تسجيل الدخول بقائمة كلمات، وكانت كلمة المرور التي اخترعها الإنسان موجودة بالضبط في المكان الذي توقعته قائمة الكلمات. البشر فظيعون في العشوائية. نحن نفكر P@ssw0rd2024! ذكي. كل قاموس متصدع على وجه الأرض لديه هذا النمط في أول بضعة آلاف من الإدخالات، مكتملًا ببدائل leetspeak ولاحقة السنة.

أنا &#39؛ سأعترف بخطاياي هنا أيضًا. لفترة محرجة من أيام Laravel، قمت بإعادة استخدام نفس كلمة المرور عبر ثلاثة خوادم مرحلية لأن &quot؛they&#39؛ مجرد عرض مسرحي، لا أحد يهتم.&quot؛ ثم انتهى الأمر بأحد صناديق العرض هذه بنسخة من بيانات الإنتاج عليها لجلسة تصحيح الأخطاء، وأدركت أن I&#39؛ كان يحمي سجلات المستخدم الحقيقية بكلمة مرور I&#39؛d تمت كتابتها أيضًا في جلسة TeamViewer مشتركة في وقت ما. لم يحدث شيء سيء. كان ذلك حظًا وليس كفاءة. توقفت عن اختراع كلمات المرور بالكامل بعد ذلك.

لذلك قمت ببناء مولد كلمات المرور في Toolz.dev، وهو يفعل الشيء الوحيد المهم: فهو يخرج الإنسان من الحلقة. يغطي هذا الدليل كيفية استخدام مولد كلمات المرور عبر الإنترنت بشكل صحيح، وحسابات الإنتروبيا التي تفصل كلمة مرور قوية عن كلمة المرور المزخرفة، وعندما تتفوق سلسلة عشوائية على عبارة المرور - بأرقام فعلية، وليس بأجواء.

ليرة تركية؛DR: توقف عن اختراع كلمات المرور - من المتوقع أن يكون البشر سيئين في ذلك. استخدم مولد كلمة المرور Toolz.dev لإنشاء كلمات مرور عشوائية مكونة من 16+ حرفًا باستخدام RNG آمن تشفيريًا، بالكامل في متصفحك. لا شيء تقوم بإنشائه يترك جهازك على الإطلاق، والطول مهم أكثر بكثير من مجرد رموز الجمباز.

الميزات الرئيسية

العشوائية الآمنة التشفير

هذه هي الميزة الأكثر أهمية والتي لا ينظر إليها أحد. يستخدم المولد Web Crypto API&#39؛s crypto.getRandomValues() - مولد أرقام عشوائية زائفة آمن تشفيريًا (CSPRNG) مصنف بواسطة نظام التشغيل الخاص بك &#39؛s تجمع الإنتروبيا - بدلاً من JavaScript&#39؛s Math.random(). هذا التمييز هو &#39؛t الأكاديمي. Math.random() تم تصميمه لتوقيت الرسوم المتحركة والعروض التوضيحية لرمي النرد؛ يمكن التنبؤ بمخرجاتها إذا لاحظ المهاجم قيمًا كافية، لأن الخوارزمية الأساسية (xorshift128+ في V8) لم يتم تصميمها أبدًا لمقاومة التنبؤ. CSPRNG هو. عندما يكون الهدف الأساسي لكلمة المرور هو أنه لا يمكن لأحد تخمينها، فإن مصدر العشوائية هو الأساس الذي يقوم عليه كل شيء آخر. I&#39؛ لقد رأيت &quot؛ مولد كلمة المرور والاقتباس؛ مقتطفات من Stack Overflow باستخدام Math.random() مع مئات الأصوات المؤيدة. دون &#39؛ نسخ تلك.

الطول يصل إلى 128 حرفًا

ينتقل شريط التمرير من قصير ومحفوف بالمخاطر إلى 128 حرفًا من ضوضاء الخط النقي. بالنسبة لأي شيء سيتذكره لك مدير كلمات المرور، أقوم بإنشاء 24 إلى 32 حرفًا ولن أفكر في الأمر مرة أخرى أبدًا. بالنسبة للأنظمة ذات الحدود القصوى الضيقة - لا تزال بعض البنوك تحدد حدًا أقصى يبلغ 16 أو 20، وهو ما يخبرك بشيء عن الواجهة الخلفية الخاصة بها - يمكنك الاتصال به لأسفل إلى أي شيء يقبله الحقل. كل حرف تضيفه يضاعف المهاجم &#39؛s يعمل بحجم مجموعة الأحرف الخاصة بك. يضيف الانتقال من 12 إلى 16 حرفًا مع مجموعة أحرف كاملة ما يقرب من 26 بت من الإنتروبيا، وهو الفرق بين &quot؛ مكلف للكراك والاقتباس؛ و&quot؛ لا يحدث قبل أن تحترق الشمس.&quot؛ الطول هو أرخص ترقية أمنية موجودة.

تبديل مجموعة الأحرف

أربعة مفاتيح مستقلة: الأحرف الكبيرة والصغيرة والأرقام والرموز. مزيج ومطابقة لكل نظام هدف. يبدو هذا تافهًا حتى تصل إلى نظام قديم يرفض & لأن طبقة التعقيم التي تعود إلى حقبة 2009 من Someone&#39 تختنق بها، أو البرامج الثابتة لجهاز توجيه Wi-Fi التي تقطع الرموز بصمت. لقد قمت ذات مرة بحرق 40 دقيقة من تصحيح أخطاء &quot؛ كلمة مرور واقتباس خاطئة؛ حلقة على لوحة استضافة العميل &#39؛ قبل أن يتم تجريد النموذج الخاص بهم < و > عند الإرسال ولكن ليس عند إنشاء الحساب. الآن أقوم فقط بتبديل الرموز للأنظمة الغريبة وإضافة أربعة أحرف من الطول للتعويض. تعمل رياضيات الإنتروبيا في نفس المكان تقريبًا، ولا ينكسر أي شيء.

استبعاد الأحرف الغامضة

ال Il1| و O0o مشكلة. إذا كنت &#39؛ سأقرأ كلمة مرور من شاشة واحدة واكتبها في شاشة أخرى - تلفزيون، ووحدة تحكم خادم عبر IPMI، وصفحة إعداد جهاز التوجيه، وزميل يقرأها بصوت عالٍ أثناء المكالمة - فالرموز الغامضة هي البؤس. هل هذا حرف I كبير أم حرف L صغير أم أنبوب؟ يعتمد على الخط، والخط يخونك دائمًا. يؤدي تبديل الاستبعاد الغامض إلى إسقاط المشتبه بهم المعتادين من المجموعة. تفقد قدرًا صغيرًا من الإنتروبيا لكل حرف - ويمكن استعادتها بسهولة عن طريق إضافة حرف أو حرفين من الطول - ولن تحصل أبدًا على وسيطة الخط المحدق في مسافة أحادية مرة أخرى. بالنسبة لأي شيء مكتوب يدويًا، أقوم بتشغيل هذا دون استثناء.

القوة الحية وردود الفعل الانتروبيا

أثناء ضبط مجموعات الطول والأحرف، يتم تحديث مقياس القوة على الفور بتقدير حقيقي للإنتروبيا - وليس الساذج &quot؛ لديه رمز، يجب أن يكون قويا وحاصل؛ تسجيل تلك الدرجات P@ssw0rd! ممتاز. يعكس المقياس مساحة المفاتيح الفعلية: رفع حجم مجموعة الأحرف إلى الطول، معبرًا عنه بالبتات. وهذا يحول الرياضيات المجردة إلى شيء يمكنك الشعور به. اسحب شريط تمرير الطول وشاهد البتات وهي تتسلق؛ قم بتبديل الرموز وشاهد تكلفة ذلك بالضبط. بمجرد أن شاهدت &#39؛ لقد شاهدت 16 حرفًا عشوائيًا تتفوق على 10 أحرف من التعقيد القسري، يظل الدرس أفضل من أي مستند سياسة تمت إدارته على الإطلاق.

جيل سائب

هل تحتاج إلى 20 كلمة مرور لمجموعة من حسابات الخدمة، أو أسطول من أجهزة التوجيه، أو زرع فريق &#39؛ تناوب بيانات الاعتماد؟ قم بإنشائها في تمريرة واحدة وانسخ الدفعة. يتم سحب كل واحدة بشكل مستقل من CSPRNG - هناك &#39؛ لا توجد علاقة تسلسل بينهما، لذا فإن معرفة واحدة لا تخبرك بأي شيء عن الأخرى. أستخدم هذا عند توفير: كلمة مرور واحدة لكل .env سرية، لكل مستخدم قاعدة بيانات، لكل بيانات اعتماد عامل قائمة الانتظار، يتم إنشاؤها في جلسة واحدة ولصقها مباشرة في القبو. إنه يتفوق على البديل I&#39؛ لقد شاهدت الأشخاص يفعلون ذلك، وهو إنشاء كلمة مرور جيدة ثم &quot؛ varying&quot؛ باليد تسع مرات. That&#39؛ كلمة مرور واحدة مع تسعة أزياء.

100% من جانب العميل - لا شيء يترك متصفحك على الإطلاق

كل شيء يعمل في متصفحك. يتم إنشاء كلمة المرور بواسطة JavaScript على جهازك، ويتم عرضها على جهازك، ويتم نسخها من جهازك. لا يوجد استدعاء API، ولا يوجد حدث تحليلي يحمل القيمة، ولا يوجد خادم يمكنه تسجيلها. Don&#39؛ خذ كلمتي لذلك - افتح DevTools، وشاهد علامة تبويب الشبكة، وقم بطرق زر الإنشاء. لا شيء يشتعل. هذا هو نفس مبدأ البنية وراء كل أداة على Toolz.dev، وI&#39؛ لقد كتبنا عن سبب عدم إمكانية التفاوض بشأنه &#39؛s منشوري حول خصوصية البيانات في الأدوات عبر الإنترنت. منشئ كلمات المرور عبر الإنترنت الذي يقوم برحلات ذهابًا وإيابًا بكلمة المرور الخاصة بك من خلال خادم هو &#39؛ وأداة أمان. It&#39؛s نقطة تجميع.

كيفية استخدام مولد كلمة المرور

الخطوة 1: افتح الأداة

توجه إلى مولد كلمة السر. لا يوجد حساب، ولا جدار تسجيل، ولا متاهة موافقة على ملفات تعريف الارتباط قبل أن تتمكن من النقر فوق الزر. يتم تحميله، ويعمل. إذا كنت &#39؛ أنت على جهاز ترتديه &#39؛ الثقة الكاملة - مركز أعمال الفندق، الكمبيوتر المحمول المستعار - تذكر أن المتصفح نفسه هو حدود ثقتك: فازت الأداة &#39؛ لا تنقل أي شيء، ولكن برنامج Keylogger على المضيف لا يفعل ذلك &#39؛ يهتم بمن قام JavaScript بإنشاء السلسلة.

الخطوة 2: اضبط طولك

الافتراضي هو نقطة بداية معقولة، ولكن اسحبه إلى 16 على الأقل لأي شيء مهم و24+ لأي شيء يخزنه مدير كلمات المرور. الطول هو أكبر رافعة لديك. إذا فرض النظام المستهدف الحد الأقصى، استخدم كل حرف يسمح به - فلا توجد جائزة لترك الإنتروبيا على الطاولة.

الخطوة 3: اختر مجموعات الأحرف

اترك المجموعات الأربع قيد التشغيل ما لم يعترض النظام المستهدف. قم بإيقاف تشغيل الرموز للنماذج القديمة والبرامج الثابتة التي تسيء التعامل معها؛ قم بتشغيل خيار الاستبعاد الغامض إذا قام الإنسان بنسخ كلمة المرور يدويًا. شاهد مقياس القوة أثناء التبديل - فهو يوضح لك بالضبط تكلفة كل خيار أو ما يشتريه بالبت.

الخطوة 4: إنشاء، نسخ، تخزين

انقر فوق إنشاء، وانقر فوق نسخ، ولصقه مباشرة في مدير كلمات المرور الخاص بك - وليس في ملف نصي، وليس في Slack DM لنفسك، وليس على ملاحظة لاصقة ستعيش بعد حضارتك. تجديد عدة مرات كما تريد؛ كل نقرة هي سحب مستقل جديد. إذا كنت بحاجة إلى دفعة، استخدم الوضع المجمع وقم بتخزين كل واحدة منها في حسابها على الفور، قبل أن تنسى أي منها. أنا &#39؛ لقد ارتكبت هذا الخطأ. مرة واحدة.

ما الذي يجعل كلمة المرور قوية في الواقع؟ رياضيات الانتروبيا

القوة هي &#39؛ حول النظر إلى المخفوق. It&#39؛s حول حجم كومة القش التي يتعين على المهاجم البحث عنها، ونحن نقيس كومة القش هذه في أجزاء من الإنتروبيا.

الصيغة بسيطة. إذا كانت كلمة المرور الخاصة بك length يتم رسم الأحرف بشكل عشوائي بشكل موحد من مجموعة أحرف ذات حجم charset، عدد كلمات المرور المحتملة هو charset^length، والإنتروبيا بالبت هي:

entropy = log2(charset^length) = length × log2(charset)

كل بت إضافي يضاعف مساحة البحث. الأمثلة العملية:

• 12 حرف صغير: مجموعة الأحرف 26، log2(26) ~ 4.70، إذن 12 × 4.70 occ 56 بت. ما يقرب من 7.2 × 10^16 احتمالات. غير مريح ضد أجهزة GPU الحديثة التي تتشقق التجزئة السريعة.
• 16 حرفًا، مجموعة الأحرف الكاملة (26 + 26 + 10 + ~10 رموز ~ 94، لكن أطلق عليها 95 ASCII قابلة للطباعة): log2(94) occ 6.55، إذن 16 × 6.55 occ 105 بت. That&#39؛s حوالي 3.7 × 10^31 احتمال - نصف كوينتيليون مرة مساحة 56 بت.
• 24 حرفًا، مجموعة الأحرف الكاملة: occ 157 بت. عند هذه النقطة، يكون العامل المحدد هو تجزئة الخدمة &#39؛، وليس كلمة المرور الخاصة بك.

لاحظ ما تكافئه الصيغة: يتضاعف الطول، والتعقيد يدفع مصطلح السجل فقط. الانتقال من الأحرف الصغيرة فقط إلى مجموعة الأحرف الكاملة يرفع log2 (مجموعة الأحرف) من 4.70 إلى 6.55 - جميل، حوالي 39% بتات إضافية لكل حرف. لكن مضاعفة الطول تضاعف البتات تمامًا. ولهذا السبب تتفوق كلمة المرور المكونة من 20 حرفًا (94 بت) على كلمة المرور المكونة من 12 حرفًا (79 بت). الطول يفوز. أنا &#39؛ سأموت على هذا التل.

تحذير واحد مهم: الصيغة لا تنطبق إلا إذا تم رسم الأحرف بشكل موحد عشوائيا. تحتوي كلمة المرور التي يختارها الإنسان على إنتروبيا أقل بكثير مما يوحي به طولها، لأن البشر يختارون من مجموعة فرعية صغيرة يمكن التنبؤ بها - كلمات القاموس، والمشي على لوحة المفاتيح، والتواريخ، والأسماء. المفرقعات لا & #39؛ t القوة الغاشمة لمساحة المفاتيح الكاملة؛ إنهم يسيرون في قوائم الكلمات المرتبة حسب الاحتمالية مع قواعد التشويه. Sumon1985@ isn&#39؛t مشكلة بحث مكونة من 10 أحرف. It&#39؛s مشكلة بحث الاسم الأول بالإضافة إلى السنة، وهذه المساحة ضئيلة.

العشوائية الموحدة هي المكان الذي يهم فيه RNG. هنا &#39؛s الطريقة الخاطئة والطريقة الصحيحة في جافا سكريبت:

// WRONG — predictable PRNG, never for secrets
const bad = chars[Math.floor(Math.random() * chars.length)];

// RIGHT — CSPRNG via Web Crypto
const buf = new Uint32Array(1);
crypto.getRandomValues(buf);
const good = chars[buf[0] % chars.length];

Math.random() هو PRNG إحصائي: جيد لخلط قائمة التشغيل، وكارثي للأسرار، لأنه يمكن استرداد حالته الداخلية من المخرجات المرصودة. crypto.getRandomValues() يتم سحبه من تجمع إنتروبيا نظام التشغيل وهو مصمم بحيث لا يمكن التنبؤ به حتى بالنسبة للمراقب الذي يرى مخرجات أخرى.

حتى &quot؛right&quot؛ المثال أعلاه به عيب خفي يستحق المعرفة التحيز modulo. إذا كان حجم مجموعة الأحرف الخاصة بك لا &#39؛ قم بتقسيم 2^32 بالتساوي، buf[0] % chars.length يجعل الأحرف ذات الفهرس المنخفض أكثر احتمالاً قليلاً. بالنسبة لمجموعة مكونة من 94 حرفًا، يكون التحيز صغيرًا، ولكن التنفيذ الدقيق يستخدم أخذ عينات الرفض - تجاهل القيم الأعلى من أكبر مضاعف لحجم مجموعة الأحرف وارسم مرة أخرى - بحيث يكون كل حرف متساويًا تمامًا في الاحتمال. It&#39؛s إصلاح من سطرين، وit&#39؛s نوع التفاصيل التي تفصل المولد الحقيقي عن المقتطف المصقول.

وأخيرا، تتفق المعايير مع الرياضيات. نيست SP 800-63B، يقول المبدأ التوجيهي الفيدرالي الأمريكي للهوية الرقمية، إن القائمين على التحقق يجب أن يفضلوا قواعد الطول على قواعد التكوين (تلك &quot؛ حرف كبير واحد، رمز واحد وquot؛ المتطلبات تدفع المستخدمين بشكل واضح نحو أنماط يمكن التنبؤ بها) لا فرض التدوير الدوري لكلمة المرور دون وجود دليل على وجود تنازلات، ويجب فحص كلمات المرور الجديدة مقابل قوائم كلمات المرور المعروفة التي تم اختراقها. ال ورقة الغش الخاصة بمصادقة OWASP يشير إلى نفس الاتجاه: دعم كلمات المرور الطويلة، والسماح بجميع الأحرف القابلة للطباعة بما في ذلك المسافات، والتحقق من مجموعة الاختراق، وإقران كلمات المرور مع MFA وتحديد المعدل بدلاً من مسرح التعقيد. عندما تقول هيئات المعايير والحسابات &quot؛ اجعلها طويلة وعشوائية، &quot؛ انتهى النقاش.

حالات الاستخدام الشائعة

اشتراكات الخدمة الجديدة

يحصل كل حساب جديد على كلمة مرور عشوائية جديدة وفريدة من نوعها - that&#39؛s الانضباط بأكمله في جملة واحدة. حشو بيانات الاعتماد، الهجوم الذي أوصل موكلي وموقع WordPress الخاص بـ#39، يعمل فقط لأن الأشخاص يعيدون استخدام كلمات المرور: يصبح الاختراق في منتدى منسي مفتاحًا لبريدك الإلكتروني. إذا حصل كل تسجيل على سلسلة عشوائية مكونة من 20+ حرفًا من المولد، فسيتم احتواء الاختراق في أي مكان هناك. يستغرق سير العمل عشر ثوانٍ: تشغيل Toolz.dev/tools/password-generator، الصق في نموذج الاشتراك، واحفظه في مدير كلمات المرور. مهمة كلمة المرور &#39؛ هي أن تكون لا تُنسى. كان ذلك يبدو وكأنه خطأ بالنسبة لي. It&#39؛s الميزة - أي شيء يمكنك تذكره، يمكن لقائمة الكلمات التنبؤ به.

مسؤول ووردبريس وبيانات اعتماد قاعدة البيانات

هذا &#39؛ شخصي. بعد تنظيف البريد العشوائي الدوائي، تبدأ قائمة التحقق من تقوية WordPress ببيانات الاعتماد، وليس المكونات الإضافية: كلمة مرور إدارة عشوائية مكونة من 24+ حرفًا، وكلمة مرور عشوائية مختلفة لكل مستخدم مسؤول إضافي، وكلمة مرور عشوائية DB_PASSWORD في wp-config.phpوالأملاح العشوائية. كلمة مرور قاعدة البيانات خاصة - I&#39؛ لقد قمت بمراجعة المواقع حيث كان اسم الموقع plus &quot؛123&quot؛، يجلس في نسخة احتياطية يمكن قراءتها عالميًا من wp-config.php. تتعرض مواقع WordPress لأتمتة غبية لا هوادة فيها؛ wp-login.php و xmlrpc.php راجع محاولات تسجيل الدخول خلال ساعات من بدء تشغيل الموقع. يتم هزيمة الأتمتة الغبية بشيء واحد بالضبط: كلمات المرور التي تكون &#39؛t في أي قائمة كلمات. سلاسل عشوائية، حسب البناء، aren&#39؛t.

مفاتيح API والأسرار وملفات.env

عندما I&#39؛ سقالات لمشروع Laravel أو Express وأحتاج إلى سر توقيع خطاف الويب، أو رمز نقطة نهاية cron، أو سر مشترك لمرة واحدة بين خدمتين، أقوم بإنشاء سلسلة عشوائية طويلة - من 32 إلى 64 حرفًا، وأحيانًا يتم إيقاف الرموز إذا &#39؛ سيعيش في عنوان URL - ثم قم بإسقاطه .env. بالنسبة للمعرفات، يجب أن أكون فريدًا ولكن ليس سريًا، وهذه &#39؛s أداة مختلفة: مولد يوويد يغطي هذه الوظيفة. وإذا كنت &#39؛ قم بالتحقق من ماذا &#39؛s في الواقع داخل الرمز المميز الذي قدمته لك الخدمة، فإن JWT فك التشفير سوف قم بتفريغها من جانب العميل. المزيد عن سير العمل بأكمله في بلدي دليل أدوات الترميز. القاعدة التي أتبعها: يتم إنشاء الأسرار، ولا يتم اختراعها أبدًا، ولا يتم إعادة استخدامها أبدًا بين البيئات. اسألني كيف تعلمت ذلك. (خوادم التدريج. ثلاثة منهم)

حسابات الفريق المشتركة ومديري كلمات المرور

يجب حقًا مشاركة بعض الحسابات - شركة Twitter، ومسجل تسجيل الدخول، وSaaS الذي يتقاضى رسومًا لكل مقعد مثله &#39؛s طباعة النقود. بيانات الاعتماد المشتركة هي المكان الذي تصبح فيه كلمات المرور التي اخترعها الإنسان أسوأ، لأنها تعمل على تحسين &quot؛ من السهل إخبار زميل عبر مكالمة.&quot؛ الإصلاح عبارة عن كلمة مرور تم إنشاؤها عشوائيًا ومخزنة في قبو مشترك لمدير كلمات المرور، لذلك لا يحتاج أحد أبدًا إلى التحدث أو الكتابة أو تذكرها. عندما يغادر شخص ما الفريق، قم بتجديد وتحديث إدخال القبو - عمل روتيني مدته دقيقتين بدلاً من وقوع حادث أمني محرج. يساعد الجيل المجمع هنا: تدوير كل بيانات الاعتماد المشتركة في جلسة واحدة بدلاً من وعد نفسك أنت و#39؛ سأصل إلى السباق التالي المتبقي. لقد فزت &#39؛ر. لم أفعل ذلك قط.

عبارات مرور واي فاي

إعداد جهاز التوجيه هو السيناريو الكلاسيكي الذي يستبعد الغموض: أنت &#39؛ سأكتب كلمة المرور هذه على لوحات مفاتيح الهاتف، وأجهزة التلفزيون الذكية المزودة بلوحة مفاتيح لوحة الاتجاهات، وجهاز الكمبيوتر المحمول Guest&#39؛ أثناء تحليقها فوق كتفك. أقوم بإنشاء 20+ حرفًا، وإيقاف الرموز، واستبعاد الأحرف الغامضة - الحروف والأرقام فقط. لا يزال أقوى بكثير من معظم الشبكات المنزلية التي تحتوي على اسم الشارع بالإضافة إلى العام، لأنه يمكن التقاط مصافحات WPA2 وكسرها دون الاتصال بالإنترنت حيث تكون معدلات المحاولات هائلة. لا تزال رياضيات الإنتروبيا &#39؛t تهتم بـ &#39؛s &quot؛ فقط Wi-Fi.&quot؛ مجموعة أحرف مكونة من 62 حرفًا تعطي log2 (62) occer 5.95 بت لكل حرف؛ 20 حرفًا هي ~ 119 بت. لا أحد يفرض ذلك بوحشية، ولا يزال بإمكان ضيوفك كتابتها في أقل من دقيقة.

كلمات المرور العشوائية مقابل عبارات المرور مقابل الأنماط البشرية

ثلاث طرق يصنع بها الأشخاص كلمات المرور. اثنان منهم فقط يمكن الدفاع عنهما.

يقترب	الانتروبيا بالطول النموذجي	التذكر	الكتابة على الجوال	الأفضل ل
سلسلة عشوائية (مولد، 16-24 حرف، مجموعة أحرف كاملة)	~105-157 بت	صفر فعليًا - هذا &#39؛s بخير	مؤلمة، لكنك تلصق من المدير	كل ما يخزنه مدير كلمات المرور: الحسابات، ومصداقية قاعدة البيانات، وأسرار واجهة برمجة التطبيقات
عبارة مرور Diceware (5-6 كلمات عشوائية)	~64-77 بت (12.9 بت/كلمة من قائمة مكونة من 7776 كلمة)	جيد حقا	كلمات سهلة - حقيقية، القليل من الرموز	الحفنة التي يجب عليك حفظها: كلمة المرور الرئيسية للمدير، وتسجيل الدخول إلى نظام التشغيل، وتشفير القرص
النمط الذي اخترعه الإنسان (Name+Year!، يمشي لوحة المفاتيح)	يبدو وكأنه 50+ بت، ويتصرف مثل 20-30 مقابل قوائم الكلمات	جيد، بشكل مخادع	سهل	لا شئ. تقاعد هؤلاء.

موقفي: سلاسل عشوائية لكل ما يخزنه مدير كلمات المرور، وعبارة مرور diceware للسرين أو الثلاثة التي يجب أن تعيش في رأسك، وأنماط اخترعها الإنسان مقابل لا شيء على الإطلاق. يتبخر النقاش بين عبارة المرور والعشوائية في الغالب بمجرد ملاحظة أنها تخدم وظائف مختلفة. سلسلة عشوائية مكونة من 24 حرفًا بحجم 157 بت أقوى رياضيًا من عبارة مرور مكونة من 6 كلمات بحجم 77 بت - لكن أنت و#39؛ لن تكتب أبدًا العبارة العشوائية من الذاكرة، ولن تنسى أنت و#39؛ أبدًا عبارة المرور. لذا استخدم كل مكان يفوز فيه. القاعدة الوحيدة التي تحتوي على عبارات المرور: يجب أن تكون الكلمات تم اختيارها عشوائيا من قائمة الكلمات (النرد أو CSPRNG)، التي لم تختارها. correct-horse-battery-staple تم اختياره لأنك قرأت القصة المصورة التي تحتوي على إنتروبيا قريبة من الصفر. أربع كلمات ملفوفة بالنرد الفعلي تحتوي على 51.7 بت، تمامًا كما هو معلن.

الأسئلة الشائعة

كم من الوقت يجب أن تكون كلمة المرور في عام 2026؟

ما لا يقل عن 16 حرفًا لأي شيء مهم، و24 حرفًا أو أكثر عندما يقوم مدير كلمات المرور بالتذكر. يؤكد NIST SP 800-63B على الطول على قواعد التكوين، وتدعمه رياضيات الإنتروبيا: كلمة مرور عشوائية مكونة من 16 حرفًا تحمل ما يقرب من 105 بت، وهو ما يتجاوز القوة الغاشمة العملية بشكل مريح. إذا كان الموقع يحددك بشكل أقصر، فاستخدم كل حرف يسمح به وقم بتمكين المصادقة الثنائية هناك.

هل مولدات كلمات المرور عبر الإنترنت آمنة للاستخدام؟

هم &#39؛ تكون آمنة إذا - وفقط إذا - تعمل بالكامل من جانب العميل باستخدام RNG آمن تشفيرًا. يقوم مولد Toolz.dev بإنشاء كلمات مرور في متصفحك باستخدام Web Crypto API ولا ينقلها أبدًا؛ يمكنك التحقق من خلال مشاهدة علامة تبويب الشبكة أثناء الإنشاء، حيث لا يتم تشغيل أي طلب. تجنب أي مولد ينتج كلمات مرور على الخادم، لأنك &#39؛d تثق في شخص غريب &#39؛s يسجل أسرارك.

هل عبارة المرور أفضل من كلمة المرور العشوائية؟

يفوزون في وظائف مختلفة. سلسلة عشوائية مكونة من 24 حرفًا أقوى رياضيًا، لكن يمكنك &#39؛ حفظها - مثالية لتخزين مدير كلمات المرور. تحمل عبارة مرور diceware المكونة من 5-6 كلمات 64-77 بت ولا تُنسى حقًا - وهي مثالية لكلمة المرور الرئيسية نفسها، وتسجيل الدخول إلى نظام التشغيل الخاص بك، وتشفير القرص. استخدم سلاسل عشوائية لكل شيء مخزن، وهي عبارة مرور للأسرار القليلة التي يجب أن تعيش في رأسك.

كيف يخلق المولد العشوائية؟

يستدعي crypto.getRandomValues () من Web Crypto API، وهو مولد أرقام عشوائية زائفة آمن تشفيريًا تم تصنيفه بواسطة نظام التشغيل الخاص بك &#39؛s تجمع الإنتروبيا. على عكس Math.random()، يمكن التنبؤ بمخرجاته &#39؛t من القيم التي تمت ملاحظتها مسبقًا، وهي الخاصية التي تعتمد عليها كلمة المرور بشكل أساسي. تتجنب التطبيقات الدقيقة أيضًا تحيز modulo، لذا فإن كل حرف في المجموعة التي اخترتها يكون متساويًا تمامًا في الاحتمال.

هل يجب أن أغير كلمات المرور الخاصة بي كل 90 يومًا؟

لا - ليس في جدول زمني. ينصح NIST SP 800-63B على وجه التحديد بعدم التناوب الدوري الإلزامي، لأن التغييرات القسرية تدفع الأشخاص نحو أنماط تدريجية مثل كلمة المرور 1، كلمة المرور 2 التي يحاول المهاجمون تجربتها أولاً. تغيير كلمة المرور عندما يكون هناك &#39؛s سبب حقيقي: تم اختراق الخدمة، أو كشفها عن طريق الخطأ، أو كتابتها على جهاز غير موثوق به، أو ترك شخص لديه وصول مشترك الفريق.

هل أحتاج حقًا إلى رموز في كلمة المرور الخاصة بي؟

ليس بقدر ما تصر نماذج الاشتراك. ترفع الرموز الإنتروبيا لكل حرف من حوالي 5.95 بت (الحروف بالإضافة إلى الأرقام) إلى حوالي 6.55 بت (مجموعة كاملة قابلة للطباعة) - وهو أمر مفيد، ولكن هناك حرفين إضافيين من الطول يشتريان أكثر مما تفعله الرموز. إذا أساء النظام القديم أو جهاز التوجيه التعامل مع الرموز، فأوقف تشغيلها وأضف الطول. تتفوق كلمة المرور الأبجدية الرقمية المكونة من 20 حرفًا على كلمة محملة برمز مكونة من 14 حرفًا في كل مرة.

هل يمكن اعتراض كلمة المرور التي تم إنشاؤها في متصفحي؟

ليس من خلال الأداة نفسها - لا يقدم المولد من جانب العميل أي طلب شبكة يحتوي على كلمة المرور، لذلك لا يوجد شيء يمكن اعتراضه. المخاطر الواقعية موجودة على جهازك الخاص: البرامج الضارة، أو برامج تسجيل المفاتيح، أو ملحق المتصفح المخترق مع إمكانية الوصول إلى الصفحة. حافظ على نظافة جهازك وملحقاته، وألصق كلمات المرور التي تم إنشاؤها مباشرة في مدير كلمات المرور، وتجنب إنشاء بيانات اعتماد على أجهزة الكمبيوتر التي لا تستخدمها &#39؛t التحكم.

ماذا &#39؛ هي أقوى كلمة مرور يمكنني صنعها؟

عمليًا: أطول سلسلة عشوائية تمامًا يقبلها النظام المستهدف، ويتم إنشاؤها باستخدام CSPRNG باستخدام مجموعات الأحرف الأربع. عند 32 حرفًا من مجموعة الأحرف الكاملة you&#39؛ يتجاوز 200 بت، حيث تتوقف كلمة المرور عن كونها أضعف رابط تمامًا - تجزئة الخدمة &#39؛ ومعالجة الجلسة وأمان جهازك أكثر أهمية. مطاردة البتات التي تتجاوز ذلك هي الزخرفة؛ ابذل الجهد لتمكين MFA وكلمات المرور الفريدة في كل مكان بدلاً من ذلك.

هل من الآمن السماح لمتصفحي بحفظ كلمات المرور الخاصة بي؟

أكثر أمانًا من إعادة استخدام كلمات المرور، وأقل قدرة من المدير المخصص. يقوم Chrome وFirefox وSafari بتشفير بيانات الاعتماد المحفوظة خلف تسجيل الدخول إلى نظام التشغيل الخاص بك ومزامنتها عبر القنوات المشفرة، مما يتفوق بشكل مريح على جدول البيانات أو كلمة المرور المتكررة. يضيف مدير مخصص الأشياء التي تتخطاها المتصفحات: الوصول عبر المتصفحات، والمشاركة الآمنة مع الفريق، ومراقبة الاختراق، وتخزين الأسرار غير المتعلقة بكلمة المرور مثل رموز الاسترداد ومفاتيح API.

ما هي كلمات المرور الأكثر شيوعًا التي يحاولها المهاجمون أولاً؟

قوائم كلمات المرور المسربة، وليس القوة الغاشمة. أدوات التكسير مفتوحة بأكبر عدد من الزيارات لكل خرق - 123456، كلمة المرور، qwerty - ثم المشي على لوحة المفاتيح، والسنوات، وأسماء الحيوانات الأليفة، وكلمات القاموس مع &quot؛123!&quot؛ أو &quot؛@&quot؛ مبادلة. كل نمط اخترعه الإنسان موجود بالفعل في قوائم الكلمات هذه، وهذا هو بالضبط السبب وراء تجاوز السلسلة التي تم إنشاؤها عشوائيًا، والتي لا تتبع أي نمط على الإطلاق، للموجة الأولى بأكملها من أي هجوم.

قم بإنشاء واحدة الآن - ثم لا تفكر فيها مرة أخرى

أفضل سير عمل لكلمة المرور ممل. افتح مولد كلمة السر، اسحب الطول لأعلى، وقم بإنشائه، واحفظه لمديرك، واستمر في حياتك. لا ذكاء، ولا أنظمة تذكير، ولا سنوات ميلاد ترتدي @ كتمويه. كل كلمة مرور فريدة، كل كلمة مرور عشوائية، لا أحد منهم يعيش في رأسك. يوم الثلاثاء قضيت في استخراج البريد العشوائي من العميل، وكان من الممكن منع ملفات السمات #39؛ تمامًا من خلال هذه العادة التي تبلغ مدتها عشر ثوانٍ بالضبط.

إذا كنت أنت &#39؛ تقوم بتأمين مكدس كامل، فالجيران على بعد علامة تبويب واحدة: مولد هاش للتحقق من المجاميع الاختبارية والنزاهة، مولد يوويد للمعرفات التي تحتاج إلى التفرد بدلاً من السرية، و JWT فك التشفير لفحص الرموز المميزة دون لصقها في بعض المواقع العشوائية والواجهة الخلفية #39؛s. كل جانب العميل، مثل المولد - السبب وراء هذه البنية موجود في منشور خصوصية البيانات، وجولة مجموعة الأدوات الأوسع تعيش في دليل أدوات الترميز.

عادة واحدة، عشر ثوان، الرياضيات الحقيقية وراء ذلك. هذا & #39؛ الملعب بأكمله.

---