Penjana Kata Laluan

Minimum 16 aksara untuk mana-mana akaun yang anda peduli. Untuk emel dan perbankan: 20+ aksara. Untuk kredensial pelayan root atau kunci penyulitan: 24-32 aksara. Hubungan antara panjang dan keselamatan adalah tidak linear — setiap tambahan aksara menggandakan ruang carian. Kata laluan alfanumerik 20-aksara (62^20) adalah lebih 14 bilion kali lebih sukar untuk serangan brute-force berbanding 16-aksara (62^16). Pada 16 aksara dengan semua jenis aksara diaktifkan, entropi adalah kira-kira 100 bit — tidak boleh ditembusi secara pengkomputeran dengan mana-mana teknologi yang boleh diramal.

Entropi mengukur sejauh mana sesuatu kata laluan sukar diramal, dalam unit bit. Entropi lebih tinggi = lebih sukar untuk diteka. Ia dikira sebagai log2(saiz_kolam_aksara) × panjang_kata_laluan. Menggunakan keempat-empat jenis aksara (huruf besar + huruf kecil + nombor + simbol) memberikan anda kolam kira-kira 94 aksara — log2(94) ≈ 6.55 bit setiap aksara. Kata laluan 16-aksara dengan semua jenis: 16 × 6.55 ≈ 105 bit entropi. Sebagai rujukan, 80 bit dianggap kuat, 100+ bit adalah sangat kuat untuk teknologi semasa. Penunjuk kekuatan dalam alatan ini menunjukkan perkara ini secara visual.

Gunakan keempat-empat jenis (huruf besar, huruf kecil, nombor, simbol) setiap kali laman web atau sistem membenarkannya — ini memaksimumkan entropi bagi setiap aksara. Sesetengah sistem mengehadkan aksara: kata laluan sistem Linux menerima semua jenis. Banyak laman web menolak simbol tertentu (terutamanya <, >, ", ', \, &) kerana ia bercanggah dengan sintaks HTML atau query. Kata laluan Windows menerima kebanyakan simbol. Kata lalawan pangkalan data kadangkala memerlukan petikan jika ia mengandungi aksara khas yang digunakan oleh parser rantaian penyambungan. Jika sesuatu laman web menolak kata laluan anda, cuba tetapan alfanumerik (huruf besar + huruf kecil + nombor) sebagai sandaran.

Aksara seperti huruf kecil l, huruf besar I, dan digit 1 adalah identikal secara visual dalam banyak jenis tulisan (serif, monospace, sesetengah sans-serif). Begitu juga dengan huruf besar O dan digit 0 yang sering mengelirukan. Ini penting apabila anda perlu menaip kata laluan dengan tangan (log masuk peranti mudah alih, konsol pemulihan sistem, peranti di mana anda tidak boleh menampal teks). Mengecualikan aksara ini bermaksud setiap aksara adalah jelas secara visual. Kos entropi adalah minima: anda beralih daripada 94 aksara kepada kira-kira 86, kehilangan kurang daripada 0.13 bit setiap aksara — sangat berbaloi dengan peningkatan kebolehgunaan.

Kata laluan aksara rawak (seperti yang dijana oleh alatan ini) membawa lebih banyak entropi setiap aksara tetapi sukar untuk diingat. Frasa laluan (empat atau lebih perkataan rawak: "correct-horse-battery-staple") adalah lebih mudah diingat tetapi lebih panjang. Frasa laluan 6-perkataan daripada senarai 7776-perkataan (diceware) menyediakan kira-kira 77 bit entropi — setara dengan kata laluan rawak 12-aksara. Untuk akaun di mana anda mesti mengingati kata laluan (kata laluan pengurus kata lalawan utama, log masuk peranti), frasa laluan selalunya adalah pilihan yang lebih baik. Untuk segalanya yang lain dalam pengurus kata lalawan anda, kata laluan rawak 20-aksara adalah lebih unggul.

Jika sesuatu laman web mengehadkan kata lalawan kepada 8-12 aksara, itu adalah tanda amaran keselamatan — data mangsa pelanggaran besar menunjukkan laman web ini selalunya menyimpan kata lalawan dengan tidak selamat. Gunakan panjang maksimum yang dibenarkan, dengan semua jenis aksara yang dibenarkan. Jika mereka menolak simbol, gunakan alfanumerik sahaja dan gantikannya dengan panjang. Jangan sesekali menggunakan semula kata lalawan merentasi laman web tanpa mengira kualitinya, kerana pelanggaran pada satu akaun akan mendedahkan akaun lain anda. Simpan semuanya dalam pengurus kata lalawan (Bitwarden adalah percuma dan sumber terbuka; 1Password dan KeePass adalah alternatif yang baik).

Tidak. Semua penjanaan berlaku dalam memori pelayar anda. Senarai sejarah dalam halaman hanyalah untuk sesi sahaja — tutup atau segarkan tab dan ia akan hilang. Tiada apa-apa yang dihantar ke mana-mana pelayan, disimpan ke localStorage, atau direkod di mana-mana. Anda boleh mengesahkan ini dengan membuka DevTools pelayar dan memeriksa tab Network — anda akan melihat sifar permintaan apabila mengklik Generate.