เวิร์กโฟลว์ความปลอดภัยรหัสผ่าน
สร้าง ทดสอบ แฮช และปกป้องข้อมูลรับรองใน 5 ขั้นตอน
ข้อมูลรับรองที่อ่อนแอเป็นจุดเข้าที่พบบ่อยที่สุดสำหรับการละเมิดความปลอดภัย เวิร์กโฟลว์นี้แนะนำคุณผ่านการสร้างความปลอดภัยรหัสผ่านที่เหมาะสม ตั้งแต่การสร้างรหัสผ่านที่แข็งแกร่งและทดสอบ ไปจนถึงการแฮชอย่างถูกต้องสำหรับการจัดเก็บและการเพิ่มปัจจัยที่สองด้วย TOTP
สร้างรหัสผ่านที่แข็งแกร่ง
รหัสผ่านที่สร้างด้วยมือตามรูปแบบที่คาดเดาได้ รหัสผ่านที่สร้างแบบสุ่มพร้อมความยาวและความหลากหลายของอักขระที่เพียงพอนั้นถอดได้ยากกว่ามาก
ตรวจสอบความแข็งแกร่งของรหัสผ่าน
ความยาวเพียงอย่างเดียวไม่รับประกันความแข็งแกร่ง รหัสผ่านที่ยาวแต่คาดเดาได้ยังคงอ่อนแอต่อการโจมตีพจนานุกรม
แฮชรหัสผ่านด้วย bcrypt
รหัสผ่านไม่ควรเก็บในรูปแบบข้อความธรรมดาหรือด้วยอัลกอริทึมแฮชที่เร็ว bcrypt เป็นตัวเลือกที่แนะนำเพราะ cost factor ทำให้การโจมตีแบบ brute-force ช้าลง
สร้างแฮช SHA-256 สำหรับการตรวจสอบข้อมูล
SHA-256 ใช้สำหรับตรวจสอบความสมบูรณ์ของข้อมูล checksum ของไฟล์ การลงนาม API request และการสร้าง token ทั้งหมดพึ่งพาสิ่งนี้
ตั้งค่าปัจจัยที่สอง TOTP
รหัสผ่านที่แข็งแกร่งบวกกับรหัสผ่านครั้งเดียวตามเวลา (TOTP) ทำให้บัญชีเกือบเป็นไปไม่ได้ที่จะเข้าถึงแม้รหัสผ่านจะรั่วไหล
เคล็ดลับ
- ใช้ตัวจัดการรหัสผ่านเพื่อเก็บรหัสผ่านที่สร้าง การจำสตริงสุ่มเป็นไปไม่ได้และการเขียนลงกระดาษก็ทำลายวัตถุประสงค์
- ตั้งค่า cost factor ของ bcrypt เป็นอย่างน้อย 12 สำหรับการใช้งาน production ปัจจัยที่ต่ำกว่าเร็วกว่าแต่ถูก brute-force ได้ง่ายกว่า
- อย่าเก็บรหัสผ่านด้วย SHA-256 เพียงอย่างเดียว มันเป็นแฮชที่เร็วและไม่เหมาะสำหรับการเก็บรหัสผ่าน ใช้ bcrypt, scrypt หรือ argon2 แทน