Teks & alat sehari-hari · Generator Kata Sandi
Mengapa 'stapel baterai kuda yang benar' hanya berfungsi jika kata-katanya acak
· Mengapa itu penting
kata sandi frasa sandi keserampangan
Komik terkenal membuat frasa sandi menjadi populer dan juga melahirkan kebiasaan buruk — memilih kata-kata Anda sendiri; posting ini menjelaskan mengapa kekuatan bergantung sepenuhnya pada pemilihan acak dari daftar yang diketahui.
Komik yang diingat semua orang dan pelajaran yang terlewatkan oleh separuh dari mereka - empat kata umum akan menjadi kuat hanya jika dadu memilihnya
Urutan empat kata yang mudah diingat menunjukkan formatnya, bukan proses yang memilihnya. Perhitungan ToolAcre bergantung pada setiap posisi yang menerima indeks seragam independen dari kumpulan kata yang memenuhi syarat. Jika seseorang memilih empat kata yang familier karena terdengar lucu atau membentuk sebuah adegan, jumlah kata yang terlihat tetap empat sementara distribusi yang mendasarinya berubah.
Repositori tidak menggunakan komik atau frasa terkenal sebagai sumber ambang keamanan. Ini mengimplementasikan dan menguji rutinitas pemilihan acak. Pelajaran praktisnya adalah melestarikan rutinitas tersebut daripada meniru contoh umum atau meniru tata bahasanya. Frasa apa pun yang dicetak dalam sebuah artikel sudah diketahui dan tidak boleh menjadi kredensial.
Empat kata yang familier bukanlah bukti adanya proses pemilihan acak
Pilihan manusia dapat memilih objek favorit, nama, kutipan, urutan tata bahasa, dan kata-kata yang menjadi satu kesatuan. ToolAcre tidak mencoba memperkirakan preferensi tersebut, sehingga tidak memberi skor pada frasa yang ada. Memanggil urutan yang dipilih sendiri setara dengan empat penarikan seragam akan menerapkan rumus generator pada proses yang tidak pernah terjadi.
Pemilihan acak masih dapat menghasilkan dua kata yang berhubungan atau bahkan berulang karena pengundian menggunakan penggantian. Mengedit keluaran tersebut hingga terasa lebih acak akan memperkenalkan preferensi manusia setelah kejadian tersebut. Prosedur yang jujur adalah menerima hasil baru atau menghasilkan kandidat yang benar-benar baru, tanpa mempublikasikan salah satu pun.
Prinsip Kerckhoffs diterapkan pada daftar kata — penyerang mungkin mengetahui seluruh daftar EFF dan frasa sandinya tetap kuat
Daftar EFF adalah aset statis publik, dan hal tersebut tidak mengurangi jumlah kemungkinan indeks. Untuk daftar panjang, build memverifikasi 7,776 entri. Seorang penyerang mungkin mengetahui setiap kata, urutan file dan semua pengaturan; bagian yang tidak diketahui adalah indeks independen mana yang dipilih Web Crypto untuk keluaran pribadi tertentu ini.
Desain ini menghindari “keamanan melalui daftar kata rahasia.” Ini juga berarti penyaringan harus diperhitungkan. Jika pengguna mempersempit panjang kata yang diizinkan, kumpulan yang memenuhi syarat menjadi lebih kecil dan fungsi entropi menggunakan kumpulan sebenarnya daripada terus mengutip 7,776.
Daftar kata publik tetap dapat digunakan karena indeks acak, bukan kerahasiaan daftar, yang dimasukkan
Ungkapan seperti “irisan pai apel merah” mengandung asosiasi dan struktur tata bahasa. Repositori tidak berisi model seberapa sering orang membuat pola tersebut, sehingga tidak memberikan ruang pencarian numerik. Memperlakukan keempat token sebagai independen hanya karena dipisahkan oleh spasi akan mengabaikan bukti seleksi.
ToolAcre malah memilih setiap kata sampai `secureRandomChoice` dari daftar yang sama yang memenuhi syarat. Kata sebelumnya tidak mempersempit undian berikutnya. Independensi tersebut adalah properti jalur kode, bukan properti visual dari frasa yang telah selesai.
Kata-kata terkait mengungkapkan proses manusia yang tidak dimodelkan oleh generator ini
Untuk empat kata daftar panjang yang dihasilkan tanpa pemfilteran, jumlah keluaran yang diurutkan adalah 7,776⁴ karena masing-masing dari empat posisi dapat menerima indeks daftar apa pun. Perhitungannya dapat diturunkan secara inline dari ukuran file yang diverifikasi. Frasa empat kata yang dibuat oleh seseorang tidak menerima nomor yang cocok di sini karena proses kandidatnya tidak ditentukan.
Perbandingan ini sengaja menghindari perkiraan waktu retak dan tidak mencetak frase yang dihasilkan. Hal ini hanya menetapkan bahwa satu proses dapat dihitung dari pilihan seragam yang diketahui sedangkan proses lainnya tidak. Kesesuaian suatu akun masih bergantung pada tujuan, perangkat, dan model ancaman yang lebih luas.
Contoh praktis: kontraskan generator seragam yang diketahui dengan frasa manusia yang tidak dapat dikuantifikasi
Sebuah cerita mnemonik dapat dibangun setelah seleksi jika kata-kata, urutan, aturan kasus dan pembatas tidak berubah. Ceritanya adalah alat bantu ingatan, bukan alasan untuk mengganti kata yang lebih baik. Menerbitkan cerita atau frasa tersebut akan mengungkap kredensialnya, jadi pertahankan keduanya dalam proses penanganan yang disetujui.
ToolAcre sendiri tidak mengajarkan atau menguji metode mnemonik. Ini menyediakan kata-kata bahasa Inggris dan kontrol pemformatan. Apakah hasil tertentu dapat diingat bersifat pribadi, dan penyimpanan adalah milik pengelola, bukan halaman ini.
Apa yang tidak tercakup di sini — klaim entropi spesifik dalam komik dan cara penghitungannya
Artikel ini tidak mereproduksi klaim entropi spesifik dari komik karena komik tersebut bukan sumber repositori yang disediakan untuk verifikasi. Ia juga tidak menyatakan bahwa sejumlah kata dapat mengalahkan setiap serangan. Phishing, malware, penggunaan kembali, dan tujuan yang disusupi tetap berada di luar daftar aritmatika.
Penghilangan ini mempertahankan batasan yang berguna: matematika pilihan yang dihasilkan dapat diperiksa secara langsung terhadap kode dan file, sementara sejarah budaya dan klaim pihak ketiga memerlukan sumber utamanya sendiri. Keduanya tidak boleh dicampur karena formatnya terlihat familier.
Kesimpulannya - pertahankan idenya, hilangkan kebiasaannya; biarkan Generator Kata Sandi memilih kata dari daftar EFF
Pertahankan gagasan kredensial multikata, tetapi biarkan proses acak yang diaudit memilih kata-katanya. ToolAcre menggunakan aset EFF terverifikasi, Kripto Web, dan indeks yang tidak memihak. Kosakata umum diharapkan; kombinasi baru pribadi adalah bagian yang harus tetap tidak diketahui.
Jangan memilih kata berdasarkan tema, memperbaiki keluaran yang tidak sesuai, atau menggunakan kembali hasilnya. Generasi membekali satu kandidat dan melupakannya; kebijakan manajemen, penyimpanan dan tujuan terjadi di tempat lain. Perhitungan kekuatan mengikuti proses acak, bukan pesona kalimat akhir.