아래의 조언은 다음과 같습니다 NIST SP 800-63B이는 필수 구성 규칙을 삭제하고 비밀번호 위반에 대한 길이 및 심사를 위해 강제 순환을 적용했습니다.
어딘가에 2020,내 WP Adminify 년 동안,나는 3 주 동안 조용히 Googlebot 에 제약 스팸을 제공하고 있었다 client's 워드 프레스 사이트를 정리하는 매우 긴 화요일 보냈다. 진입 점은 was't 플러그인 취약점이었다't 제로 데이. 그것은 관리자 계정이었다 - 사용자 이름 admin, 비밀번호 Sumon1985@. "special character"를 만족시키기 위해 @ 볼트로 고정된 사이트 소유자'의 이름과 출생 연도입니다. 자격 증명을 채우는 봇이 곧바로 들어왔습니다 wp-login.php. 액세스 로그에는 로그인 1회 전 4일 동안 11,000회 이상의 로그인 시도가 표시되었습니다. 테마 파일에서 삽입된 코드를 정리하고 wp_options 테이블은 나에게 주말의 더 나은 부분을 데려 갔다.
그 일은 제가 암호에 대해 생각하는 방식을 바꾸었습니다. 공격이 정교해서가 아니라 - 정교함과 반대되는 것이었습니다. 그것은 단어 목록으로 로그인 양식을 망치로 치는 스크립트였고,사람이 만든 암호는 단어 목록이 예상했던 바로 그 자리에 앉았습니다. 인간은 무작위로 끔찍하다고 생각합니다 P@ssw0rd2024! 영리합니다. 지구상의 모든 크래킹 사전은 처음 수천 개의 항목에 해당 패턴을 가지고 있으며 leetspeak 대체 및 연도 접미사가 포함되어 있습니다.
I'll 여기에서도 내 자신의 죄를 인정한다. 내 라라벨 시절의 당황스러운 스트레칭을 위해,나는 3 개의 스테이징 서버에 걸쳐 동일한 암호를 재사용했는데,왜냐하면 "they're just staging,nobody cares." 그런 다음 그 스테이징 박스 중 하나가 디버깅 세션을 위해 그것에 생산 데이터의 복사본으로 끝났고,나는 I'd 가 암호 I'd 로 실제 사용자 레코드를 보호하고 있다는 것을 깨달았고,또한 어느 시점에서 공유 TeamViewer 세션에 입력했습니다. 나쁜 일은 일어나지 않았습니다. 그것은 능력이 아니라 행운이었습니다. 그 후 암호를 발명하는 것을 완전히 중단했습니다.
그래서 저는 Toolz.dev 에 암호 생성기를 만들었고,그것은 중요한 한 가지를 합니다: 그것은 사람을 루프에서 빼냅니다. 이 가이드는 온라인에서 암호 생성기를 제대로 사용하는 방법,강력한 암호를 장식적인 암호와 분리하는 엔트로피 수학,그리고 임의의 문자열이 암호문을 이길 때 - 바이브가 아닌 실제 숫자로.
TL;DR: 암호를 발명 중지 - 인간은 예상대로 그것에 나쁜. 을 사용하여 Toolz.dev 비밀번호 생성기 암호로 안전한 RNG 를 가진 16+ 특성 무작위 암호를 창조하기 위하여는,완전히 당신의 브라우저에서. 당신이 생성하는 아무것도는 이제까지 당신의 장치를 떠나지 않으며,길이는 상징 체조 보다는 멀리 중요합니다.
주요 특징
암호화 방식으로 안전한 무작위성
이것은 가장 중요한 기능이며 아무도 보지 않는 기능입니다. 생성기는 Web Crypto API's crypto.getRandomValues() - JavaScript's 대신 운영 체제's 엔트로피 풀에 의해 시드된 암호화 방식으로 안전한 의사 난수 생성기(CSPRNG)입니다 Math.random(). 그 구별은 isn't 학술. Math.random() 애니메이션 타이밍 및 주사위 굴림 데모용으로 제작되었습니다; 기본 알고리즘(V8의 xorshift128+)은 예측에 저항하도록 설계되지 않았기 때문에 공격자가 충분한 값을 관찰하면 출력을 예측할 수 있습니다. CSPRNG는 비밀번호의 요점이 아무도 추측할 수 없다는 것일 때 무작위성 소스는 다른 모든 것의 기초입니다. I've see "password generator" 스택 오버플로의 스니펫을 사용합니다 Math.random() 수백 개의 찬성표로. Don't copy those.
길이 최대 128자
슬라이더는 짧고 위험한 것에서 순수한 선 잡음의 128 자로 이동합니다. 암호 관리자가 기억할 모든 것에 대해 24 ~ 32 자를 생성하고 다시는 생각하지 않습니다. 꽉 길이 캡이있는 시스템의 경우 - 일부 은행은 여전히 백엔드에 대해 알려주는 16 또는 20 에 캡을 씌웁니다 - 필드가 허용하는 모든 것에 다이얼을 돌립니다. 추가하는 모든 문자는 attacker's 작업을 문자 집합의 크기로 곱합니다. 전체 문자 집합이있는 12 에서 16 문자로 이동하면 대략 26 비트의 엔트로피가 추가되며 이는 "crack" 에 비싼; 및 "태양이 타 버리기 전에 발생하지 않습니다." 길이는 존재하는 가장 저렴한 보안 업그레이드입니다.
문자 집합 토글
4 개의 독립 스위치: 대문자,소문자, 숫자,기호. 대상 시스템별로 믹스 및 일치. 거부하는 레거시 시스템을 칠 때까지는 사소한 것처럼 들립니다 & someone's 2009 년 시대 소독 층은 그것에,또는 조용히 상징을 자르는 Wi-Fi 대패 굳힌모 질식하기 때문에. 나는 한 번 "wrong 암호 "를 디버깅하는 40 이상 분을 점화했다. 그들의 모양이 벗겨 실현하기 전에 client's 접대 패널에 반복 < 그리고 > 제출에 하지만 계정 생성에. 지금 난 그냥 cranky 시스템에 대 한 오프 기호를 전환 하 고 보상의 길이의 네 문자를 추가 합니다. 엔트로피 수학은 거의 같은 장소에 밖으로 작동,아무것도 깨지지.
모호한 문자 제외
X-1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 1000 X 10 Il1| 그리고 O0o 문제. 만약 you'll 이제까지 한 화면에서 암호를 읽고 다른 입력 - TV,IPMI 를 통해 서버 콘솔,라우터 설정 페이지,통화에서 큰 소리로 읽는 동료 - 모호한 글리프는 비참한입니다. 그것은 대문자 I 또는 소문자 l 또는 파이프? 글꼴에 따라 달라지며 글꼴은 항상 당신을 배신. 제외 모호한 토글은 풀에서 일반적인 용의자를 떨어 뜨립니다. 당신은 문자 당 엔트로피의 작은 금액을 잃게 - 쉽게 길이의 하나 또는 두 개의 문자를 추가하여 복구 - 그리고 당신은 그 squinting-at-a-monospace-font 인수를 다시 갖는 얻을. 손으로 입력 한 모든 것을 위해,나는 예외없이이 뒤집어.
라이브 스트렝스 및 엔트로피 피드백
길이와 문자 집합을 조정하면 강도 측정기가 실제 엔트로피 추정치로 즉시 업데이트됩니다. 순진한 " 기호가 없고 strong"이어야 합니다; 그 성적을 평가합니다 P@ssw0rd! 우수한으로. 미터는 실제 키 공간을 반영: 비트 단위로 표현 길이로 제기 charset 크기. 이것은 당신이 느낄 수있는 무언가로 추상 수학을 켭니다. 길이 슬라이더를 드래그하고 비트가 올라가는 것을 볼; 기호를 토글 오프하고 비용이 정확히 무엇인지 확인. 일단 you've 는 16 임의의 문자는 강제 복잡성의 10 문자를 능가 보았다,레슨은 지금까지 관리 된 어떤 정책 문서보다 더 나은 스틱.
대량 생성
서비스 계정의 배치,라우터의 함대,또는 team's 자격 증명 회전을 시딩에 대 한 20 암호가 필요? 하나의 패스에서 그들을 생성 하 고 로트를 복사 합니다. 각 하나는 독립적으로 CSPRNG 에서 그려집니다-there's 그들 사이의 시퀀스 관계가 없습니다,그래서 하나를 알고 당신에 게 다음 프로비저닝 때이 사용: 당 하나의 암호 .env 비밀, 데이터베이스 사용자 당, 큐 작업자 자격 증명 당, 한 번에 앉아 생성 하 고 바로 금고에 붙여 넣기. 그것은 대체 I & #39;ve를 이길 사람들이 한 좋은 암호를 생성 하 고 다음 "varying" 그것은 손으로 아홉 번. That's 1 개의 암호 아홉 의상.
100% 클라이언트 측 - 브라우저에서 아무것도 남지 않습니다
모든 것이 브라우저에서 실행됩니다. 암호는 기계의 JavaScript 에 의해 생성되고 기계에 표시되며 기계에서 복사됩니다. API 호출이없고 값을 전달하는 분석 이벤트가없고 기록 할 수있는 서버가 없습니다. Don & # 39;t 는 내 말을 그대로 받아 들여 DevTools 를 열고 네트워크 탭을보고 생성 버튼을 망치로 두들겨 지지는 않습니다. 이것은 Toolz.dev 의 모든 도구 뒤에있는 동일한 아키텍처 원리이며 I & # 39;s 는 왜 it & # 39;s 에 협상 할 수 없는지에 대해 작성했습니다 온라인 도구의 데이터 개인 정보 보호에 대한 내 게시물입니다서버 isn't 를 통해 암호를 둥근 트립하는 암호 발전기 온라인은 안전 공구입니다. It's 수집 점.
비밀번호 생성기 사용 방법
1 단계: 도구를 엽니 다
로 향하다 비밀번호 생성기니다. 아니 계정,아니 가입 벽,아니 쿠키 - 동의 미궁 전에 버튼을 클릭할 수 있습니다. 그것은 로드,작동합니다. 만약 당신이 're 기계에 don't 완전히 신뢰 - 호텔 비즈니스 센터,빌린 노트북 - 브라우저 자체가 신뢰 경계 기억: 도구 won't 아무것도 전송하지만 호스트에 키로거 doesn't 관심 누구 자바 스크립트가 문자열을 생성.
2단계: 길이를 설정하세요
기본값은 정상 시작점이지만 중요한 것은 최소 16 으로 드래그하고 암호 관리자가 저장하는 것은 24+로 드래그하십시오. 길이는 가장 큰 단일 레버입니다. 대상 시스템이 최대값을 적용하면 허용되는 모든 문자를 사용하십시오 - 테이블에 엔트로피를 남겨두면 상금이 없습니다.
3 단계: 문자 집합 선택
대상 시스템이 개체하지 않는 한 4개 세트를 모두 켜두십시오. 레거시 양식 및 이를 잘못 처리하는 펌웨어에 대해 기호를 전환하십시오; 사람이 손으로 비밀번호를 복사할 경우 제외 모호한 옵션을 뒤집으십시오. 토글할 때 강도 측정기를 시청하십시오. 각 선택 비용이 얼마인지 또는 비트로 구매하는지 정확하게 보여줍니다.
4단계: 생성, 복사, 저장
생성을 클릭 복사,암호 관리자에 직접 붙여 넣기 - 텍스트 파일로하지,스스로 슬랙 DM 으로하지,문명보다 오래 살 것이다 스티커 메모에하지. 원하는만큼 재생성; 각 클릭은 신선한 독립적 인 무승부입니다. 당신이 배치가 필요한 경우,벌크 모드를 사용하고 즉시 계정에 대해 각 하나를 저장,당신은 어느 것을 잊기 전에. I & #39;ve 는 그 실수를했다. 한 번.
비밀번호를 실제로 강하게 만드는 것은 무엇입니까? 엔트로피 수학
힘 isn't 는 뒤섞인 모습을 보는 것에 관한 것입니다. It's 는 공격자가 검색해야 하는 건초 더미의 크기에 관한 것이며,우리는 그 건초 더미를 엔트로피의 비트로 측정합니다.
공식은 간단합니다. 만약 여러분의 암호가 length 크기의 문자 집합에서 무작위로 균일하게 그려지는 문자입니다 charset는, 가능한 암호의 수는 charset^length이고, 비트 단위의 엔트로피는: 입니다
entropy = log2(charset^length) = length × log2(charset)
각각의 추가 비트는 검색 공간을 두 배로 늘립니다. 작업 예:
- 소문자 12개: charset 26, log2(26) ≈ 4.70, 그래서 12 × 4.70 ≈ 56비트니다. 대략 7.2 × 10^16 가능성. 빠른 해시를 크래킹 현대 GPU 리그에 대해 불편.
- 16자, 전체 문자세트 (26 + 26 + 10 + ~10 기호 ≈ 94, 하지만 95 인쇄 가능한 ASCII라고 부름): log2(94) ≈ 6.55, 그래서 16 × 6.55 ≈ 105비트. That's 약 3.7 × 10^31 가능성 - 56 비트 공간의 반 경배.
- 24자, 전체 문자 세트: ≈ 157비트. 그 시점에서 제한 요소는 비밀번호가 아닌 service's 해싱입니다.
공식이 보상하는 것을 주목하십시오: 길이는 곱하고,복잡성은 로그 용어 만 찔러 넣습니다. 소문자 전용에서 전체 문자 집합으로 이동하면 log2 (charset) 가 4,70 에서 6,55 로 상승합니다 - 좋은,문자 당 약 39% 더 많은 비트. 그러나 길이를 두 배로 늘리면 비트가 완전히 두 배가됩니다. 이것이 20 자 소문자 암호 (94 비트) 가 12 자 모든 것 - 수프 암호 (79 비트) 를이기는 이유입니다. I & # 39;ll 이 언덕에서 죽습니다.
한 가지 중요한 주의 사항: 문자가 그려진 경우에만 공식이 적용됩니다 무작위로 균일하게. 인간이 선택한 비밀번호는 길이가 제시하는 것보다 엔트로피가 훨씬 적습니다. 왜냐하면 인간은 사전 단어, 키보드 걷기, 날짜, 이름 등 작고 예측 가능한 하위 집합에서 선택하기 때문입니다. Crackers don't brute-force the full keyspace; 그들은 망글링 규칙으로 확률 순서의 단어 목록을 걷습니다. Sumon1985@ isn't 는 10 자 검색 문제입니다. It's 는 이름 플러스 년 검색 문제이며,그 공간은 아주 작습니다.
균일 무작위성은 RNG 가 중요한 곳입니다. Here's 잘못된 방법과 JavaScript 의 올바른 방법:
// WRONG — predictable PRNG, never for secrets
const bad = chars[Math.floor(Math.random() * chars.length)];
// RIGHT — CSPRNG via Web Crypto
const buf = new Uint32Array(1);
crypto.getRandomValues(buf);
const good = chars[buf[0] % chars.length];
Math.random() 통계적 PRNG입니다: 재생 목록을 섞으면 괜찮고, 관찰된 출력에서 내부 상태를 복구할 수 있기 때문에 비밀에는 치명적입니다. crypto.getRandomValues() OS 엔트로피 풀에서 끌어와 다른 출력을 보는 관찰자에게도 예측할 수 없도록 설계되었습니다.
심지어 "right" 위의 예에는 알 가치가 있는 미묘한 결함이 있습니다: 모듈로 바이어스니다. 만약 당신의 charset 크기 doesn't 균등하게 나누기 2^32,니다 buf[0] % chars.length 낮은 인덱스 문자를 약간 더 가능성이 높게 만듭니다. 94 자 세트의 경우 바이어스는 작지만 신중한 구현에서는 거부 샘플링을 사용합니다. 문자 집합 크기의 가장 큰 배수보다 높은 값을 버리고 다시 그리십시오. 따라서 모든 문자는 정확히 동일하게 가능성이 높습니다. It's는 두 줄로 수정되었으며 it's는 복사하여 붙여넣은 조각에서 실제 생성기를 분리하는 종류의 세부 정보입니다.
마지막으로 표준은 수학에 동의합니다. NIST SP 800-63B미국 연방 디지털 신원 지침에 따르면 검증자는 구성 규칙("대문자 하나, 기호 및 인용문 하나; 요구 사항은 사용자를 예측 가능한 패턴으로 명백히 밀어붙임)보다 길이를 선호해야 합니다 아닙니다 타협의 증거 없이 주기적인 비밀번호 회전을 강제하고,알려진 위반 비밀번호 목록에 대해 새로운 비밀번호를 검사해야 합니다. The OWASP 인증 치트 시트 같은 방향을 가리킨다: 긴 암호를 지원하고,공백을 포함한 모든 인쇄 가능한 문자를 허용하고,위반 말뭉치에 대해 확인하고,복잡성 극장이 아닌 MFA 및 속도 제한과 암호를 페어링합니다. 표준 기관과 산술이 모두 "make it long and random," 논쟁이 끝났을 때.
일반적인 사용 사례
새로운 서비스 가입
모든 새로운 계정은 신선한,독특한 임의의 암호를 가져옵니다 - that's 한 문장에 전체 징계. 자격 증명 스터핑,내 client's 워드 프레스 사이트를 얻은 공격은 사람들이 암호를 재사용하기 때문에 만 작동합니다: 일부 잊혀진 포럼에서 위반은 이메일의 키가됩니다. 모든 가입이 생성기에서 자신의 20 + 문자 임의의 문자열을 얻는다면 어디든지 위반이 거기에 포함되어 있습니다. 워크 플로우는 십초 걸립니다: 에 생성 Toolz.dev/tools/password-generator가입 양식에 붙여넣기,암호 관리자에 저장. 암호's 일은 기억에 남지 않는 것입니다. 그 나에게 버그처럼 느껴지곤했다. It's 기능 - 당신이 기억할 수있는 모든 것을,단어 목록은 예측할 수 있습니다.
WordPress 관리자 및 데이터베이스 자격 증명
이 one's 개인. 그 pharma-스팸 정리 후, 내 워드 프레스 강화 체크리스트는 플러그인이 아닌 자격 증명으로 시작: 임의의 24 + 문자 관리자 암호, 모든 추가 관리 사용자에 대한 다른 임의의 암호, 임의의 DB_PASSWORD 에서 wp-config.php및 임의의 소금. 데이터베이스 암호는 특히 - I & #39;ve 는 사이트 이름 플러스 & quot;123 & quot;이었다 사이트를 감사,의 세계적으로 읽을 수있는 백업에 앉아 wp-config.php. 워드 프레스 사이트는 바보, 끊임없는 자동화에 의해 타격을 얻을; wp-login.php 그리고 xmlrpc.php 사이트가 라이브로 전환 된 후 몇 시간 내에 로그인 시도를 참조하십시오. 멍청한 자동화는 정확히 한 가지에 의해 패배합니다: 어떤 단어 목록에서 aren't 인 암호. 임의의 문자열,구성별, aren't.
API 키, 비밀 및.env 파일
I'm이 Laravel 또는 Express 프로젝트를 비계로 만들고 웹훅 서명 비밀, 크론 엔드포인트 토큰 또는 두 서비스 간의 일회성 공유 비밀이 필요한 경우 32~64자, 때로는 기호가 꺼진 긴 무작위 문자열을 생성합니다. it'll은 URL에 살고 있습니다. .env. 식별자를 위해 나는 유일한 그러나 비밀이 아닐 필요가 있다,that's 다른 공구: 그만큼 UUID 생성기 그 일을 커버합니다. 그리고 만약 당신이're checking what's actually inside a token a service handed you, the JWT 디코더 클라이언트 측에서 압축을 풀 것입니다. 내 전체 워크플로에 대해 자세히 알아보세요 코딩 도구 가이드니다. 내가 따르는 규칙: 비밀은 생성되고,발명되지 않으며,환경간에 재사용되지 않습니다. 내가 어떻게 그것을 배웠는지 물어보십시오. (스테이징 서버. 그 중 세 개.)
공유 팀 계정 및 비밀번호 관리자
일부 계정은 진정으로 공유해야 합니다. 회사 Twitter, 등록 기관 로그인, 좌석당 요금을 청구하는 SaaS는 's 인쇄 비용입니다. 공유 자격 증명은 인간이 발명한 비밀번호가 최악인 곳입니다. 왜냐하면 "통화를 통해 동료에게 쉽게 말할 수 있기 때문입니다." 수정 사항은 공유 비밀번호 관리자 금고에 저장된 무작위로 생성된 비밀번호이므로 누구도 말하거나 입력하거나 기억할 필요가 없습니다. 누군가가 팀을 떠날 때 금고 항목을 재생성하고 업데이트합니다. 어색한 보안 사고 대신 2분간의 잡일입니다. 대량 생성은 여기서 도움이 됩니다: 자신에게 약속하는 대신 한 번에 모든 공유 자격 증명을 회전시키세요. you'll 다음 스프린트로 이동하세요. 당신은 이겼고't. 나는 결코 하지 않았습니다.
Wi-Fi 암호문
라우터 설정은 고전적인 제외-모호한 시나리오입니다: you'll 전화 키보드에이 암호를 입력,방향 패드 키보드와 스마트 TV,그리고 guest's 노트북 그들은 당신의 어깨 위에 맴돌고 있는 동안. 나는 생성 20+ 문자,기호를 해제,제외 모호한 문자-문자와 숫자만. 여전히 광대 하 게 거리-이름-플러스-년 대부분의 홈 네트워크 실행 보다 강한,WPA2 악수는 캡처 및 크랙 오프 라인 시도 속도 엄청난 수 있기 때문에. 엔트로피 수학 does't 는 그것을 신경's "just Wi-Fi." 62 의 문자와 숫자 문자 집합은 여전히 문자 당 log2 (62) ≈ 5,95 비트를 제공; 20 문자는 ~119 비트. 아무도 그것을 무차별 강요 하 고,당신의 손님은 여전히 분 이내에 입력할 수 있습니다.
무작위 비밀번호 vs 암호문 vs 인간 패턴
사람들이 암호를 만드는 세 가지 방법. 그 중 두 가지만 방어할 수 있습니다.
| 접근 | 일반적인 길이의 엔트로피 | 기억력 | 모바일에서 입력 | 위한 최고의 |
|---|---|---|---|---|
| 무작위 문자열(생성기, 16-24자, 전체 문자셋) | ~105-157비트 | 효과적으로 제로 - that's fine | 고통스럽지만 관리자에게서 붙여넣습니다 | 비밀번호 관리자가 저장하는 모든 것: 계정, DB 크레딧, API 비밀 |
| Diceware 암호문(5-6개의 무작위 단어) | ~64-77비트(7,776워드 목록에서 12.9비트/워드) | 정말 좋아요 | 쉬운 - 진짜 단어, 몇 가지 기호 | 당신이 외워야 할 소수: 관리자 마스터 비밀번호, OS 로그인, 디스크 암호화 |
인간이 발명한 패턴(Name+Year!, 키보드 걷기) |
50+ 비트처럼 보이고 단어 목록에 대해 20-30처럼 동작합니다 | 좋아요, 믿을 수 없을 정도로요 | 쉬운 | 아무것도 아님. 이것들을 은퇴시키세요. |
내 입장: 암호 관리자가 저장하는 모든 것에 대한 임의의 문자열, 머리 속에 살아야하는 두세 가지 비밀에 대한 diceware 암호문, 그리고 인간이 발명 한 패턴은 전혀 없습니다. 암호 대 무작위 논쟁은 대부분 다른 작업을 수행한다는 것을 알게되면 증발합니다. 157 비트의 24 자 임의 문자열은 77 비트의 6 단어 암호보다 수학적으로 더 강합니다 - 그러나 you & # 39;ll 은 메모리에서 임의의 것을 입력하지 않으며 you & # 39;ll 은 암호를 잊지 않습니다. 따라서 승리하는 곳에서 각각 사용하십시오. 암호 문구가있는 유일한 규칙: 단어는 있어야합니다 무작위로 선택 귀하가 선택하지 않은 단어 목록(주사위 또는 CSPRNG)에서. correct-horse-battery-staple 만화를 읽었기 때문에 선택한 것은 엔트로피가 거의 0 에 가깝습니다. 실제 주사위로 굴린 네 단어는 광고 된 것과 정확히 일치하는 51,7 비트를 갖습니다.
자주 묻는 질문
2026년 비밀번호는 얼마나 길어야 하나요?
중요한 것은 무엇이든 최소 16 자,암호 관리자가 기억을 할 때는 24 자 이상입니다. NIST SP 800-63B 는 구성 규칙보다 길이를 강조하고 엔트로피 수학은 이를 뒷받침합니다: 16 자 전체 문자 집합 임의 암호는 대략 105 비트를 전달하며,실질적인 무차별 대입을 넘어 편안하게 사이트 캡을 짧게 만들면 허용되는 모든 문자를 사용하고 거기에서 이중 인증을 활성화합니다.
온라인 암호 생성기는 안전하게 사용할 수 있습니까?
They're safe if - and only if - they run all client-side with cryptographically secure RNG. Toolz.dev generator 는 Web Crypto API 로 브라우저에서 암호를 생성하고 절대 전송하지 않습니다; 생성 중 네트워크 탭을 보면서 확인할 수 있습니다. 요청이 실행되지 않는 서버에서 암호를 생성하는 생성기를 피하십시오. 왜냐하면 you'd be trusting a stranger's logs with your secrets.
암호문이 임의의 암호문보다 더 나은가요?
그들은 다른 직업에서 이긴다. 24 자 무작위 문자열은 수학적으로 더 강하지만,당신은 can't 그것을 암기 - 암호 관리자 저장에 적합합니다. 5-6 단어 diceware 암호 문구는 64-77 비트를 운반하고 진정으로 기억에 남습니다 - 마스터 암호 자체,OS 로그인 및 디스크 암호화에 저장된 모든 것에 무작위 문자열을 사용하십시오. 당신의 머리에 살아야하는 몇 가지 비밀에 대한 암호 문구.
생성기는 어떻게 무작위성을 만들어내는가?
그것은 당신의 운영체제에 의해 시드된 암호학적으로 안전한 의사 난수 생성기인 Web Crypto API 로부터 crypto.getRandomValues() 를 호출합니다's 엔트로피 풀. Math.random() 과는 달리,그것의 출력 can't 는 암호가 근본적으로 의존하는 속성인 이전에 관찰된 값으로부터 예측됩니다. 주의 깊은 구현은 또한 모듈로 바이어스를 피하므로 선택한 세트의 모든 문자는 정확히 동일하게 가능성이 높습니다.
90 일마다 비밀번호를 변경해야 하나요?
아니오 - 일정에 아닙니다. NIST SP 800-63B 는 강제적인 변경이 사람들을 Password1, 공격자가 먼저 시도하는 Password2 와 같은 증분 패턴으로 밀어 넣기 때문에 강제적인 주기적 회전에 대해 구체적으로 조언합니다. there's 실제 이유가 있을 때 암호를 변경하십시오: 서비스가 침해되었거나, 실수로 노출되었거나, 신뢰할 수 없는 시스템에 입력했거나, 공유 액세스 권한이 있는 사람이 팀을 떠납니다.
내 비밀번호에 기호가 정말 필요합니까?
가입 양식이 주장하는 것만큼은 아닙니다. 기호는 문자당 엔트로피를 약 5,95 비트 (문자 더하기 숫자) 에서 약 6,55 비트 (전체 인쇄 가능 세트) 로 올립니다. - 도움이되지만 길이의 두 추가 문자는 기호보다 더 많이 구입합니다. 레거시 시스템이나 라우터가 기호를 잘못 처리하면 기호를 끄고 길이를 추가합니다. 20 자 영숫자 암호는 매번 14 자 기호가 포함 된 암호를 능가합니다.
내 브라우저에서 생성된 비밀번호를 가로챌 수 있나요?
도구 자체에 의해서가 아니라 - 클라이언트 측 생성기는 암호를 포함하는 네트워크 요청을하지 않으므로 가로 채기 위해 전송중인 것은 없습니다. 현실적인 위험은 자신의 장치에 있습니다: 악성 코드,키로거 또는 페이지 액세스가 가능한 손상된 브라우저 확장 프로그램 및 확장 프로그램을 깨끗하게 유지하고 생성 된 암호를 암호 관리자에 바로 붙여 넣으며 don & # 39;t 제어하는 컴퓨터에서 자격 증명을 생성하지 마십시오.
What's 내가 만들 수 있는 가장 강력한 암호?
실질적으로: 대상 시스템이 수락하는 가장 긴 완전 무작위 문자열로,4 개의 문자 집합을 모두 사용하는 CSPRNG 로 생성됩니다. 전체 문자 집합의 32 문자에서 you're past 200 비트에서 암호가 완전히 가장 약한 링크가되는 것을 멈추는 곳 - service's 해싱,세션 처리 및 장치 보안 문제 그 이상의 비트를 쫓는 것은 장식입니다; 대신 모든 곳에서 MFA 및 고유 암호를 활성화시키는 노력을 기울이십시오.
브라우저가 내 비밀번호를 저장하도록 하는 것이 안전한가요?
암호를 재사용하는 것보다 안전하고,전용 관리자보다 능력이 떨어집니다. Chrome,Firefox, Safari 는 OS 로그인 뒤에 저장된 자격 증명을 암호화하고 암호화된 채널을 통해 동기화합니다. 이는 스프레드시트나 반복되는 암호를 편안하게 능가합니다. 전담 관리자는 브라우저가 건너뛰는 것들을 추가합니다: 브라우저 간 액세스,팀과의 보안 공유,위반 모니터링,복구 코드 및 API 키와 같은 비암호 비밀 저장.
공격자가 가장 먼저 시도하는 가장 일반적인 암호는 무엇입니까?
무차별 대입이 아닌 유출된 비밀번호 목록. 모든 위반의 가장 큰 히트로 균열 도구가 열립니다. 123456, 비밀번호, qwerty - 그런 다음 키보드 걷기, 연도, 애완동물 이름 및 압정으로 고정된 "123!" 또는 "@" swap. 모든 인간이 발명한 패턴은 이미 해당 단어 목록에 있으며, 이는 전혀 패턴을 따르지 않는 무작위로 생성된 문자열이 모든 공격의 첫 번째 물결 전체를 회피하는 이유입니다.
지금 하나를 생성하세요. 그런 다음 다시는 생각하지 마세요
최고의 암호 워크플로는 지루합니다. Open the 비밀번호 생성기, 길이를 위로 끌고, 생성하고, 당신의 매니저에게 저장하고, 당신의 생활로 움직이십시오. 영리함 없음, 니모닉 체계 없음, 변장으로 @를 착용하는 출생 년 없음. 유일한 각 암호, 무작위 각자는, 당신의 머리 속에 사는 그들 중 누구도. 화요일은 client's 테마 파일에서 pharma 스팸을 긁어내는 데 소비했으며 정확히이 10 초 습관에 의해 완전히 예방할 수있었습니다.
만약 you're 전체 스택을 확보하고 있다면,이웃은 한 탭 떨어져 있습니다: the 해시 생성기 체크섬 및 무결성 검증을 위해 UUID 생성기 비밀보다는 고유성이 필요한 식별자의 경우 JWT 디코더 어떤 무작위 site's 백엔드에 붙여넣기 없이 토큰을 검사하기 위한. 생성기와 동일한 모든 클라이언트 측 - 그 아키텍처 뒤에 있는 추론은 에 있습니다 데이터 개인 정보 보호 게시물그리고 더 넓은 툴킷 투어가 살고 있습니다 코딩 도구 가이드.
하나의 습관, 십초, 그 뒤에 진짜 수학. That's 전체 피치.
