Bagaimana memilih frasa sandi

Mengapa acak lebih pintar, berapa banyak kata yang Anda perlukan, rentang panjang dan pemisah apa yang benar-benar berubah, dan kapan kata sandi acak adalah alat yang lebih baik.

Satu-satunya hal yang membuat frasa sandi kuat adalah Anda tidak memilihnya

Ini adalah keseluruhan gagasannya, dan perlu diungkapkan secara blak-blakan karena hampir setiap saran kata sandi mengaburkannya. Frasa sandi yang kuat sebanding dengan jumlah frasa sandi yang kemungkinan besar dapat dihasilkan oleh proses tersebut. Jika mesin mengambil enam kata secara seragam dari daftar 7,776, angka tersebut adalah 7,776 pangkat keenam. Jika seseorang memilih enam kata yang terasa acak, jumlahnya jauh lebih kecil, karena orang-orang bukanlah pengambil sampel yang seragam dan belum pernah melakukannya.

Tanyakan kepada seseorang tentang binatang secara acak dan Anda akan lebih sering mendengar suara anjing, kucing, atau singa daripada aardvark. Mintalah empat digit angka acak dan 1234 serta tahun yang dimulai 19 sangat banyak jumlahnya. Perangkat lunak cracking dibangun berdasarkan keteraturan berikut: ia tidak menebak berdasarkan abjad, ia menebak berdasarkan kemungkinan, dan pilihan manusia berada di depan antrian itu.

Jadi nilai halaman ini bukanlah kata-katanya. Baik Anda maupun orang lain tidak memengaruhi mana yang muncul.

Mengapa enam kata adalah defaultnya

Enam kata dari daftar panjang EFF adalah rekomendasi Electronic Frontier Foundation untuk daftar tersebut, dan alat ini default untuk itu. Setiap kata menyumbang sekitar 12.9 bits, jadi enam di antaranya menghasilkan kira-kira 77 bits — cukup sehingga penyerang offline yang melakukan satu triliun tebakan per detik masih akan melakukan penelusuran dalam waktu yang sangat lama, sementara frasa itu sendiri masih cukup pendek untuk dilatih.

Lima kata, tentang 64 bits, adalah titik di mana serangan offline yang memiliki sumber daya yang baik tidak lagi bersifat teoritis. Ini adalah pilihan yang masuk akal untuk akun yang tidak terlalu Anda pedulikan, dan pilihan yang buruk untuk akun apa pun yang melindungi hal-hal lain.

Tujuh atau delapan kata sepadan dengan dua atau tiga frasa sandi yang melindungi segalanya: frasa yang membuka kunci pengelola kata sandi Anda, login perangkat Anda, akun email Anda. Itu adalah frasa sandi yang akan Anda ketikkan cukup sering untuk dipelajari, dan frasa sandi yang komprominya paling memakan biaya.

Melampaui delapan kata mempunyai nilai yang menurun tajam. Pada saat itu, frasa sandi sudah jauh dari jangkauan serangan tebakan apa pun, dan ancaman yang realistis — laman phishing, malware di mesin, situs web yang dijalankan dengan buruk, menyimpannya dalam teks biasa — tidak peduli berapa panjangnya.

Daftar kata mana yang digunakan

Daftar panjang berisi 7,776 kata — enam lemparan dadu dari lima dadu — dan merupakan default karena setiap kata memiliki kekuatan paling besar: sekitar 12.9 bits. Kata-katanya lebih panjang dan beberapa tidak jelas, itulah perdagangan yang Anda lakukan.

Daftar pendek berisi 1,296 kata yang masing-masing berisi sekitar 10.3 bits. Kata-katanya lebih umum dan lebih cepat untuk diketik, hal ini penting jika Anda akan memasukkan frasa sandi di konsol game atau remote televisi. Karena setiap kata bernilai lebih rendah, Anda memerlukan sekitar tujuh atau delapan kata untuk mencocokkan enam dari daftar panjang.

Daftar ketiga berukuran sama dengan daftar pendek tetapi dipilih sedemikian rupa sehingga tidak ada kata yang merupakan awalan dari kata lain, dan agar tiga huruf pertama mengidentifikasi kata tersebut secara unik. Itu adalah kenyamanan nyata pada perangkat dengan pelengkapan otomatis atau dengan keyboard yang canggung, dan tidak memerlukan biaya apa pun dibandingkan dengan daftar pendek biasa.

Daftar yang lebih besar tidak otomatis lebih baik. Yang penting adalah jumlah kata dikalikan dengan kekuatan masing-masing kata, dan daftar pendek dengan satu atau dua kata tambahan akan ditempatkan di tempat yang sama.

Apa yang sebenarnya diubah oleh opsi lanjutan

Panjang kata minimum dan maksimum memfilter daftar sebelum kata apa pun diambil. Ini adalah perdagangan yang sebenarnya: mempersempit rentang menjadi lima hingga sembilan huruf membuat hasilnya lebih mudah dibaca dan diketik, tetapi juga memperkecil kumpulan asal setiap kata, sehingga kekuatan setiap kata sedikit berkurang. Angka entropi pada halaman dihitung dari kumpulan yang difilter, bukan daftar lengkap, sehingga sudah mencerminkan apa pun yang Anda pilih.

Pemisah mengubah cara kata digabungkan. Spasi terbaca paling baik dan paling mudah diketik ulang oleh kebanyakan orang, namun beberapa formulir login memangkas atau menolak spasi, itulah sebabnya tanda hubung dan garis bawah ditawarkan. Memilih opsi acak akan memilih pemisah baru untuk setiap celah dari lima karakter, yang menambahkan sejumlah kecil kekuatan nyata — sekitar 2.3 bits per celah — dan dihitung dalam gambar yang ditampilkan.

Opsi kasus tersebut ada karena banyak situs yang masih memerlukan huruf kapital. Huruf kecil, huruf besar, huruf besar pada huruf pertama, dan pergantian semuanya merupakan aturan yang tetap: penyerang yang mengetahui aturan tersebut tidak memperoleh apa pun darinya, jadi tidak ada satupun yang menambah kekuatan. Opsi acaknya berbeda - setiap kata menggunakan huruf besar atau kecil secara independen, yang menambahkan tepat satu bit per kata dan dihitung.

Akrostik membatasi setiap kata untuk dimulai dengan huruf yang Anda pilih, sehingga inisialnya mengeja sesuatu. Ini adalah alat bantu ingatan dan membutuhkan kekuatan: alih-alih menggambar dari keseluruhan kata, setiap kata diambil dari kumpulan kata yang jauh lebih kecil yang diawali dengan huruf tersebut. Halaman ini menghitung ulang entropi untuk huruf yang Anda ketik, dan akan memberi tahu Anda dengan jelas jika tidak ada kata dalam daftar saat ini dan rentang panjangnya dimulai dengan salah satunya.

Frasa sandi atau kata sandi acak?

Gunakan frasa sandi yang harus diingat dan diketik oleh manusia: kata sandi utama pengelola kata sandi, login perangkat, kunci enkripsi disk, akun yang perlu Anda akses dari mesin yang tidak memiliki pengelola kata sandi.

Gunakan kata sandi acak di mana pun — yang, jika Anda menggunakan pengelola dengan benar, hampir ada di semua tempat. Anda tidak pernah mengetiknya, jadi daya ingat tidak menghasilkan apa-apa, dan dua puluh karakter acak memberikan lebih banyak kekuatan dalam penekanan tombol yang lebih sedikit dibandingkan frasa sandi yang setara.

Kata sandi acak yang terdiri dari dua puluh karakter yang diambil dari alfabet campuran yang terdiri dari sekitar delapan puluh simbol bernilai kira-kira 126 bits, yang berarti lebih dari delapan kata dari daftar panjang. Halaman ini menghasilkannya juga, di bagian kata sandi acak di bawah Opsi lanjutan.

Keduanya berada di tempat yang sama karena suatu alasan: jawaban yang benar bergantung pada apakah seseorang atau suatu program akan melakukan pengetikan, dan itu adalah pertanyaan yang layak untuk ditanyakan setiap kali daripada diselesaikan sekali saja.

Menggunakan hasilnya dengan baik

Satu lagi kebiasaan yang patut dibentuk: ubah frasa sandi ketika ada alasan untuk — pemberitahuan pelanggaran, perangkat bersama, kecurigaan — bukan pada kalender. Rotasi berkala yang dipaksakan secara andal menghasilkan kata sandi yang lebih lemah, karena orang mengatasinya dengan menambah angka di bagian akhir.

Salin dengan tombol Salin, bukan dengan memilih teks, sehingga tidak ada yang hilang atau terpotong di kedua ujungnya.
Tempelkan langsung ke pengelola kata sandi Anda sebelum Anda menempelkannya di tempat lain. Frasa sandi yang tidak pernah sampai ke pengelola adalah frasa yang pada akhirnya akan Anda atur ulang.
Gunakan untuk satu akun dan tidak untuk yang lain. Penggunaan kembali inilah yang mengubah pembobolan satu situs menjadi masalah bagi semua akun Anda, dan tidak ada jumlah entropi yang dapat membantu mengatasinya.
Jangan menambahkan perubahan yang mudah diingat — tahun lahir Anda, nama situs, tanda seru — untuk membuatnya terasa lebih pribadi. Penambahan itulah yang pertama kali dikembangkan oleh perangkat lunak tebakan, dan menghilangkan keacakan yang Anda inginkan di sini.
Jika sebuah situs menolak frasa sandi karena terlalu panjang atau mengandung spasi, perpendek satu kata atau ganti pemisahnya daripada membuat penggantinya dengan tangan.

Apa yang terjadi pada apa yang Anda hasilkan

ToolAcre menghasilkan kata sandi secara lokal di browser Anda. Untuk lingkungan yang sangat sensitif, pastikan browser, perangkat, dan sistem operasi Anda tepercaya sebelum menggunakan generator kata sandi berbasis web apa pun.

Setiap frasa sandi dan kata sandi dihasilkan di tab browser Anda, oleh generator nomor acak kriptografis milik browser Anda. Tidak ada server yang terlibat setelah halaman dimuat.
Tidak ada apa pun yang dihasilkan di sini yang dikirim ke ToolAcre. Kebijakan Keamanan Konten produk ini membatasi halaman tersebut dari halaman aslinya, sehingga browser itu sendiri memblokir segala upaya untuk mengirim data ke tempat lain.
Tidak ada yang ditulis ke penyimpanan lokal, penyimpanan sesi, cookie, database dalam browser, bilah alamat, atau konsol browser. Memuat ulang akan membuangnya; menutup tab akan membuangnya.
Tidak ada akun, tidak ada proses masuk, tidak ada skrip analitik, dan tidak ada skrip iklan. Satu-satunya file yang diunduh adalah daftar kata statis.
Tidak ada sejarah yang disimpan. Menghasilkan lagi akan menggantikan nilai, dan nilai sebelumnya tidak dapat dipulihkan.

Pertanyaan

Bisakah kata yang sama muncul dua kali dalam satu frasa sandi?

Ya, dan itu benar, bukan bug. Setiap kata merupakan hasil undian independen dari seluruh kelompok yang memenuhi syarat. Menghapus duplikat akan membuat hasilnya terlihat lebih rapi sekaligus mengurangi jumlah kemungkinan frasa sandi, sehingga angka entropi akan melebih-lebihkan kekuatannya.

Haruskah saya menambahkan nomor dan simbol untuk memenuhi permintaan situs tersebut?

Jika situs memaksa, tambahkan dengan cara yang tetap dan membosankan — akhiran yang sama setiap saat — dan jangan memperhitungkan kekuatannya. Menambahkan dekorasi yang dapat diprediksi ke frasa sandi acak hampir tidak memerlukan biaya apa pun dan hampir tidak menghasilkan apa pun. Jika Anda mempunyai pilihan, alihkan pemisah ke karakter tanda baca, yang biasanya memenuhi aturan.

Apakah frasa sandi yang lebih panjang dari daftar pendek sama baiknya dengan frasa sandi yang lebih pendek dari daftar panjang?

Ya. Kekuatan adalah jumlah kata dikalikan dengan bit yang dibawa setiap kata. Delapan kata dari daftar pendek adalah tentang 82 bits; enam dari daftar panjang adalah tentang 77. Yang penting adalah produknya, bukan dari daftar mana produk itu berasal.

Apakah menggunakan huruf besar pada huruf pertama setiap kata membuatnya lebih kuat?

Tidak. Ini adalah aturan tetap, jadi siapa pun yang menebak bisa menerapkan aturan yang sama. Hanya opsi kasus acak yang menambah kekuatan, karena pilihan untuk setiap kata adalah lemparan koin yang sebenarnya, dan halaman menghitungnya sebagai satu bit per kata.

Berapa banyak frasa sandi yang perlu saya ingat?

Biasanya tiga atau empat: yang membuka kunci pengelola kata sandi Anda, login perangkat Anda, akun email Anda, dan mungkin login kantor. Segala sesuatu yang lain ada di dalam pengelola sebagai kata sandi acak yang tidak pernah Anda ketik.

Keterbatasan

Daftar kata adalah bahasa Inggris. Frasa sandi yang terbuat dari kata-kata bahasa Inggris juga tidak kalah lemahnya bagi penutur non-Inggris, namun akan lebih sulit untuk diingat, dan itulah inti dari hal tersebut.
Angka entropi menjelaskan pengaturannya, bukan frasa sandi tertentu yang ada di depan Anda. Hasil apa pun, secara kebetulan, terlihat bermakna.
Halaman ini tidak dapat memberi tahu Anda apakah situs yang akan Anda gunakan menyimpan kata sandi dengan benar. Frasa sandi yang sangat kuat dalam database teks biasa masih terekspos ketika database tersebut bocor.
Beberapa formulir login secara diam-diam memotong input panjang atau menghapus spasi. Jika frasa sandi berhenti berfungsi setelah kata sandi diubah, itu adalah penyebab umum.
Akrostik selalu mengurangi kekuatan. Ini ditawarkan karena frasa sandi yang mudah diingat yang sebenarnya Anda gunakan mengalahkan frasa sandi yang lebih kuat yang Anda atur ulang setiap bulannya, namun perdagangannya nyata dan halaman tersebut menunjukkannya.