Οδηγός ασφαλείας

Πόσο μακρύς πρέπει να είναι ένας κωδικός πρόσβασης;

Μάθετε πότε να επιλέξετε 12, 16, 20 ή 32 χαρακτήρες και γιατί το μήκος, η μοναδικότητα και η αποθήκευση του κωδικού έχουν μεγαλύτερη σημασία από την οπτική πολυπλοκότητα.

Σύνοψη

Για τους περισσότερους σύγχρονους λογαριασμούς, 16 τυχαίοι χαρακτήρες αποτελούν μια ισχυρή πρακτική βάση. Χρησιμοποιήστε 20 ή περισσότερους για σημαντικούς προσωπικούς λογαριασμούς, email, τραπεζικές συναλλαγές, εργασία ή διαχειριστικούς λογαριασμούς. Χρησιμοποιήστε 32 χαρακτήρες όταν ο κωδικός θα αποθηκευτεί σε έναν διαχειριστή κωδικών και προστατεύει πρόσβαση υψηλής αξίας.

Δοκιμάστε τις γεννήτριες 16 χαρακτήρων, 20 χαρακτήρων ή 32 χαρακτήρων.

Ζώνες μήκους

Οι σύντομοι κωδικοί είναι πιο εύκολο να μαντευτούν επειδή υπάρχουν λιγότεροι πιθανοί συνδυασμοί. Έξι έως εννέα χαρακτήρες είναι συνήθως πολύ λίγοι για την ασφάλεια λογαριασμού. Δέκα έως δεκατέσσερις χαρακτήρες μπορεί να γίνονται δεκτοί από πολλές υπηρεσίες, αλλά δεν πρέπει να θεωρούνται ως η προτιμώμενη επιλογή για σημαντικούς λογαριασμούς.

Δεκαέξι τυχαίοι χαρακτήρες είναι μια καλή προεπιλογή όταν ένας διαχειριστής κωδικών αποθηκεύει την τιμή. Είκοσι χαρακτήρες προσθέτουν περιθώριο ενώ παραμένουν συμβατοί με πολλούς ιστότοπους. Τριάντα δύο χαρακτήρες είναι χρήσιμοι για πίνακες διαχείρισης, κρυπτογραφημένα αρχεία, διαπιστευτήρια βάσεων δεδομένων και τοπικά μυστικά.

Τυχαίο μήκος έναντι ανθρώπινου μήκους

Ένας τυχαίος κωδικός 16 χαρακτήρων είναι πολύ διαφορετικός από μια ανθρώπινη φράση 16 χαρακτήρων. Οι ανθρώπινες επιλογές συχνά περιλαμβάνουν λέξεις, ημερομηνίες, ονόματα και προβλέψιμες καταλήξεις. Οι επιτιθέμενοι δοκιμάζουν αυτά τα μοτίβα πριν επιχειρήσουν τυφλή ωμή βία.

Πρακτικές συστάσεις

• Χρησιμοποιήστε 16 χαρακτήρες ως κανονική βάση.
• Χρησιμοποιήστε 20–32 χαρακτήρες για λογαριασμούς υψηλής αξίας.
• Χρησιμοποιήστε μια φράση πρόσβασης αν η απομνημόνευση έχει σημασία.
• Χρησιμοποιήστε προεπιλογές χωρίς σύμβολα ή χωρίς αμφιλεγόμενους χαρακτήρες μόνο όταν η συμβατότητα το απαιτεί.
• Μην επαναχρησιμοποιείτε ποτέ έναν κωδικό απλώς και μόνο επειδή είναι μακρύς.

Λεπτομερής καθοδήγηση

Αυτός ο οδηγός εστιάζει στην επιλογή μήκους κωδικού για διαφορετικούς κινδύνους λογαριασμού. Είναι γραμμένος για αναγνώστες που συγκρίνουν επιλογές 12, 16, 20, 24 και 32 χαρακτήρων, οπότε ο πρακτικός στόχος δεν είναι να δημιουργηθεί ένας δραματικός ισχυρισμός ασφαλείας. Ο στόχος είναι να επιλεγεί μια συνήθεια κωδικού που μπορεί να επιβιώσει στην καθημερινή χρήση: φόρμες σύνδεσης, διαχειριστές κωδικών, πληκτρολόγια κινητών, ανάκτηση λογαριασμού, κοινόχρηστες συσκευές και η περιστασιακή υπηρεσία με περίεργους κανόνες επικύρωσης. Μια ασφαλής σύσταση είναι χρήσιμη μόνο αν ένα πραγματικό άτομο μπορεί να την ακολουθήσει με συνέπεια.

Το ασφαλέστερο σημείο εκκίνησης είναι η τυχαιότητα συν η μοναδικότητα. Τυχαιότητα σημαίνει ότι η τιμή επιλέγεται από έναν μεγάλο χώρο από μια κρυπτογραφικά κατάλληλη τυχαία πηγή, όχι επινοημένη από μια γέννηση, ένα όνομα κατοικίδιου, ένα μοτίβο πληκτρολογίου ή μια αγαπημένη φράση. Μοναδικότητα σημαίνει ότι ο ίδιος κωδικός δεν χρησιμοποιείται πουθενά αλλού. Ένας κωδικός που είναι μακρύς αλλά επαναχρησιμοποιείται μπορεί να αποτύχει γρήγορα μετά από μια άσχετη παραβίαση, ενώ ένας μοναδικός τυχαίος κωδικός περιορίζει τη ζημιά στον μοναδικό λογαριασμό όπου χρησιμοποιήθηκε.

Για αυτό το θέμα, μια πρακτική προεπιλογή είναι 16 χαρακτήρες για συνηθισμένους λογαριασμούς, 20 ή περισσότεροι για σημαντικούς λογαριασμούς και 32 για μυστικά που αποθηκεύονται αντί να πληκτρολογούνται. Μπορείτε να εφαρμόσετε αυτήν την προεπιλογή με τη γεννήτρια κωδικών 32 χαρακτήρων και στη συνέχεια να αποθηκεύσετε την τελική τιμή σε έναν αξιόπιστο διαχειριστή κωδικών. Το PwdGen δημιουργεί τιμές τοπικά στο πρόγραμμα περιήγησης με το Web Crypto· ο παραγόμενος κωδικός δεν αποστέλλεται σε διακομιστή PwdGen. Αυτός ο τοπικός σχεδιασμός μειώνει την έκθεση στην πλευρά του διακομιστή, αλλά δεν προστατεύει από κάθε απειλή. Μια κακόβουλη επέκταση προγράμματος περιήγησης, μια παραβιασμένη συσκευή, μια σελίδα phishing ή μη ασφαλής διαχείριση του προχείρου μπορεί να εκθέσει ένα μυστικό μετά τη δημιουργία του.

Τα πιο συνηθισμένα προβλήματα που πρέπει να αποφύγετε είναι οι σύντομες τυχαίες τιμές, τα όρια μέγιστου μήκους, οι παλαιού τύπου φόρμες και η υπόθεση ότι ένα σταθερό μήκος είναι ασφαλές για κάθε σύστημα. Αυτά τα προβλήματα έχουν σημασία επειδή οι επιτιθέμενοι σπάνια χρειάζεται να δοκιμάσουν όλους τους πιθανούς κωδικούς με ωμή βία όταν οι ανθρώπινες συνήθειες τους δίνουν μια συντόμευση. Η γέμιση διαπιστευτηρίων, το phishing, οι λίστες διαρροής κωδικών και η κατάχρηση ανάκτησης λογαριασμού είναι συχνά πιο ρεαλιστικά από μια καθαρά μαθηματική αναζήτηση. Γι’ αυτό η καλύτερη συμβουλή συνδυάζει την ποιότητα του κωδικού με ελέγχους σε επίπεδο λογαριασμού, όπως MFA, κλειδιά πρόσβασης, αποθήκευση κωδικών ανάκτησης και τακτικό έλεγχο των ρυθμίσεων email ή τηλεφώνου ανάκτησης.

Χρησιμοποιήστε αυτήν τη λίστα ελέγχου όταν εφαρμόζετε τη σύσταση:

• Χρησιμοποιήστε μεγαλύτερο μήκος όταν δεν επιτρέπονται σύμβολα.
• Ελέγξτε το μέγιστο μήκος προορισμού πριν από την αποθήκευση.
• Αποφύγετε τη σύντμηση κωδικών για ευκολία.
• Χρησιμοποιήστε φράσεις πρόσβασης όταν η απομνημόνευση έχει σημασία.

Εάν ένας ιστότοπος απορρίπτει την ιδανική ρύθμιση, μην πιέζετε τον κωδικό σε ένα πιο αδύναμο μοτίβο χειροκίνητα. Προσαρμόστε μία μεταβλητή κάθε φορά. Εάν τα σύμβολα απορρίπτονται, κρατήστε ενεργά τα κεφαλαία, πεζά και αριθμούς και αυξήστε το μήκος. Εάν το μέγιστο μήκος είναι μικρό, χρησιμοποιήστε το μεγαλύτερο αποδεκτό μήκος και βεβαιωθείτε ότι η τιμή είναι μοναδική. Εάν ένας κωδικός πρέπει να διαβαστεί δυνατά, να εκτυπωθεί ή να πληκτρολογηθεί σε οθόνη τηλεόρασης ή δρομολογητή, σκεφτείτε να εξαιρέσετε συγκεχυμένους χαρακτήρες και να αυξήσετε το μήκος για να αντισταθμίσετε το μικρότερο αλφάβητο.

Τέλος, θυμηθείτε τα όρια της συμβουλής για κωδικούς. Ένας ισχυρός κωδικός είναι ένα επίπεδο άμυνας, όχι εγγύηση. Δεν μπορεί να κάνει μια σελίδα phishing ασφαλή, να διορθώσει κακόβουλο λογισμικό ή να αντισταθμίσει μια υπηρεσία που αποθηκεύει διαπιστευτήρια με κακό τρόπο. Η χρήσιμη συνήθεια είναι βαρετή αλλά ανθεκτική: δημιουργήστε μια μοναδική τιμή, αποθηκεύστε την με ασφάλεια, προστατέψτε τη διαδρομή ανάκτησης και αντικαταστήστε την γρήγορα αν υποψιάζεστε έκθεση.

Συχνές ερωτήσεις

Είναι 12 χαρακτήρες αρκετοί;

Ένας τυχαίος κωδικός 12 χαρακτήρων μπορεί να είναι χρήσιμος για συμβατότητα, αλλά 16 ή περισσότεροι είναι καλύτερη προεπιλογή όταν η υπηρεσία το αποδέχεται.

Πότε πρέπει να χρησιμοποιώ 20 ή 32 χαρακτήρες;

Χρησιμοποιήστε 20 ή περισσότερους για σημαντικούς λογαριασμούς και 32 για ροές εργασίας διαχειριστή, κρυπτογραφημένων αρχείων ή μυστικών προγραμματιστή που αποθηκεύονται σε έναν διαχειριστή κωδικών.

Μπορεί ένας κωδικός να είναι πολύ μακρύς;

Ορισμένες υπηρεσίες επιβάλλουν μέγιστα μήκη ή απορρίπτουν σύμβολα. Χρησιμοποιήστε τη μεγαλύτερη μοναδική τυχαία τιμή που αποδέχεται ο προορισμός.