टेक्स्ट और रोजमर्रा के टूल · पासवर्ड जेनरेटर
पासफ़्रेज़ या यादृच्छिक पासवर्ड? यह चुनना कि आपको इसे कहां टाइप करना है
· यह क्यों मायने रखती है
पासवर्डों पासफ्रेज प्रयोज्य
तर्क है कि सही प्रारूप इनपुट सतह पर निर्भर करता है - एक फोन कीबोर्ड, एक TV रिमोट, एक डिस्क-एन्क्रिप्शन प्रॉम्प्ट या एक पासवर्ड मैनेजर की ऑटोफिल - और प्रत्येक के लिए एक निर्णय नियम देता है।
टेलीविज़न रिमोट पर Xq7$v!2p टाइप करना - जहां यादृच्छिक पासवर्ड व्यवहार में विफल हो जाते हैं
Xq7$v!2p जैसी स्ट्रिंग को TV रिमोट के साथ दर्ज करना अजीब हो सकता है। वैध मालिक के लिए कठिनाई एक हमलावर के लिए कठिनाई के समान नहीं है, खासकर जब एक छोटा, मानव-चयनित "चतुर" पासवर्ड पूर्वानुमानित प्रतिस्थापन का उपयोग करता है। क्रेडेंशियल के लिए आपको अक्सर टाइप करना होगा, यादृच्छिक शब्द लंबे रहस्य की अनुमति देते हुए ट्रांसक्रिप्शन गलतियों को कम कर सकते हैं। क्रेडेंशियल्स के लिए एक प्रबंधक स्वचालित रूप से भरता है, यादगारता बहुत कम खरीदती है: एक लंबा अद्वितीय यादृच्छिक मान चुनें और इसे कभी भी जोर से न पढ़ें।
दोनों प्रारूपों की तुलना की गई - स्मरणीयता, टाइपिंग गति, त्रुटि दर और प्रति अक्षर ताकत
पासफ़्रेज़ पर्याप्त रूप से बड़ी सूची से समान रूप से चुने गए शब्दों का एक क्रम है; एक यादृच्छिक पासवर्ड निर्दिष्ट वर्णमाला से वर्णों का चयन करता है। दोनों तब मजबूत हो सकते हैं जब उनका स्रोत क्रिप्टोग्राफ़िक हो और परिणाम काफी लंबा हो। "प्रति वर्ण" की ताकत एक उपयोगी सार्वभौमिक रैंकिंग नहीं है क्योंकि इनपुट अक्षर, सूची का आकार और चयन की आदतें भिन्न होती हैं। मानव द्वारा पसंदीदा शब्दों से बनाया गया वाक्यांश कई मशीन-चयनित EFF शब्दों के बराबर नहीं है, भले ही इसकी टाइपोग्राफी समान दिखती हो।
पासवर्ड एक मानव प्रकार - डिवाइस लॉगिन, डिस्क एन्क्रिप्शन, वाई-फाई और प्रबंधक का मास्टर पासवर्ड पासफ़्रेज़ के पक्ष में है
ऑटोफ़िल उपलब्ध होने से पहले एक लैपटॉप लॉगिन, डिस्क-एन्क्रिप्शन प्रॉम्प्ट या पासवर्ड-मैनेजर मास्टर पासवर्ड टाइप करना पड़ सकता है। यदि सिस्टम इसकी लंबाई और रिक्त स्थान को स्वीकार करता है तो वे यादगार यादृच्छिक रूप से उत्पन्न पासफ़्रेज़ के लिए अच्छे उम्मीदवार हैं। वाई-फ़ाई राउटर लेबल या रिमोट-कंट्रोल कीबोर्ड में संकीर्ण वर्ण नियम हो सकते हैं; जिस वाक्यांश को आप दर्ज नहीं कर सकते, उसे उत्पन्न करने से पहले परीक्षण करें कि डिवाइस क्या स्वीकार करता है। यदि खाते को दूसरे कारक की आवश्यकता है, तो इसका उपयोग करें- शब्दों की कोई भी व्यवस्था फ़िशिंग पेज में टाइप किए गए रहस्य की रक्षा नहीं करती है।
पासवर्ड एक मशीन भरती है - प्रबंधक में संग्रहीत वेबसाइट लॉगिन लंबी यादृच्छिक स्ट्रिंग हो सकती है जिसे कोई भी कभी नहीं पढ़ता है
किसी प्रबंधक में रखा गया वेबसाइट लॉगिन अलग होता है। प्रबंधक एक लंबी यादृच्छिक स्ट्रिंग बना और भर सकता है जिसे कोई भी व्यक्ति याद नहीं रखता है और प्रत्येक खाते के लिए एक अलग स्ट्रिंग निर्दिष्ट कर सकता है। सांख्यिकीय रूप से मजबूत वाक्यांश के लिए भी पुन: उपयोग एक जोखिम है; एक समझौते से आपकी शेष सेवाएँ अनलॉक नहीं होनी चाहिए। मास्टर क्रेडेंशियल और प्रत्येक संग्रहीत साइट पासवर्ड के अलग-अलग कार्य होते हैं, इसलिए "संगति" के लिए दोनों को एक ही प्रारूप देना कोई सुरक्षा योजना नहीं है।
लंबाई सीमाएं और फ़ील्ड नियम - जहां पासफ़्रेज़ फिट नहीं होता है और इसके बजाय क्या करना है
कुछ पुराने सिस्टम रिक्त स्थान को अस्वीकार कर देते हैं, लंबे इनपुट को छोटा कर देते हैं या छोटी अधिकतम लंबाई लगा देते हैं। पूछें कि क्या सीमा वर्णों, बाइट्स या किसी विशेष एन्कोडिंग पर लागू होती है, विशेष रूप से गैर-ASCII शब्दों के साथ। जहां कोई पासफ़्रेज़ फिट नहीं होगा, वहां अनुमत वर्णमाला से एक यादृच्छिक पासवर्ड चुनें और उतनी ही लंबाई जितनी सेवा स्वीकार करती है। एक वाक्यांश से कई उत्पन्न शब्दों को चुपचाप न काटें और पुराने एन्ट्रापी अनुमान को उद्धृत करना जारी रखें। यदि कोई प्रदाता असामान्य रचना नियमों को लागू करता है, तो आपके जनरेटर को परिणाम को व्यक्तिगत पैटर्न में बदले बिना उनका पालन करना होगा।
कारगर उदाहरण - नए-लैपटॉप सप्ताहांत के दौरान बनाए गए प्रत्येक खाते के लिए एक प्रारूप निर्दिष्ट करना
नए लैपटॉप सप्ताहांत पर, डिस्क अनलॉक के लिए एक नया बहुशब्द वाक्यांश चुनें और प्रबंधक के मास्टर पासवर्ड के लिए दूसरा वाक्यांश चुनें; उनके बीच कभी भी एक साझा न करें। प्रबंधक को नए वेब खातों के लिए अलग-अलग यादृच्छिक स्ट्रिंग बनाने दें। राउटर के लिए, पहले इसके स्वीकृत वाई-फाई क्रेडेंशियल नियमों की जांच करें, फिर एक लंबा मान उत्पन्न करें जिसे आपके डिवाइस पर विश्वसनीय रूप से दर्ज या प्रावधान किया जा सके। इनमें से कोई भी उदाहरण पुन: प्रयोज्य पासवर्ड सुझाव नहीं है: Web Crypto के साथ अपने स्वयं के रहस्य उत्पन्न करें और उन्हें सुरक्षित रूप से संग्रहीत करें।
इसमें क्या शामिल नहीं है - हार्डवेयर सुरक्षा कुंजी और पासकी, जो पासवर्ड को पूरी तरह से बदल देती हैं
यह तुलना हार्डवेयर सुरक्षा कुंजी, पासकी, खाता पुनर्प्राप्ति नियंत्रण या फ़िशिंग-प्रतिरोधी बहु-कारक प्रमाणीकरण को प्रतिस्थापित नहीं करती है। यदि किसी पासवर्ड मैनेजर की डिवाइस से छेड़छाड़ की गई है तो उससे भी छेड़छाड़ की जा सकती है, इसलिए इनपुट प्रारूप चुनना केवल एक परत है। NIST मार्गदर्शन लंबाई पर जोर देता है और मनमानी रचना युक्तियों से बचता है, लेकिन क्रेडेंशियल लागू करने वाली सेवा अभी भी इसकी वास्तविक स्वीकृत सीमाओं को परिभाषित करती है।
टेकअवे - जो कुछ भी आप हाथ से टाइप करते हैं, उसके लिए पासवर्ड जनरेटर के साथ एक पासफ़्रेज़ उत्पन्न करें और अपने प्रबंधक को बाकी काम संभालने दें
किसी चीज़ के लिए मनुष्य को बार-बार टाइप करना होगा, एक यादृच्छिक पासफ़्रेज़ उत्पन्न करना होगा जहां इनपुट सतह इसकी अनुमति देती है; किसी मशीन द्वारा भरी जाने वाली किसी चीज़ के लिए, किसी विश्वसनीय पासवर्ड मैनेजर को विशिष्टता और लंबाई सौंपें। ToolAcre पासवर्ड जेनरेटर ब्राउज़र क्रिप्टोग्राफ़िक यादृच्छिकता का उपयोग करता है और डिवाइस पर जेनरेट किए गए मान रखता है, इसके पासवर्ड पेजों पर कोई तृतीय-पक्ष विज्ञापन या एनालिटिक्स स्क्रिप्ट नहीं होती है। किसी उच्च-मूल्य वाले रहस्य के लिए किसी भी वेब-आधारित जनरेटर का उपयोग करने से पहले सत्यापित करें कि आपका डिवाइस और क्लिपबोर्ड विश्वसनीय हैं।