Panduan keselamatan

Kesalahan Kata Laluan Biasa yang Perlu Dielakkan

Elakkan penggunaan semula kata laluan, corak yang boleh diramal, penyimpanan tidak selamat, pemulihan yang lemah, dan keyakinan palsu daripada kerumitan visual.

Ringkasan

Kebanyakan kegagalan kata laluan berpunca daripada tabiat manusia yang boleh diramal: penggunaan semula, panjang pendek, maklumat peribadi, penggantian biasa, penyimpanan tidak selamat, dan tetapan pemulihan yang lemah. Penjana setempat hanya membantu jika hasilnya digunakan dan disimpan dengan betul.

Kesalahan 1: Penggunaan Semula

Menggunakan semula kata laluan membolehkan satu kebocoran menjejaskan banyak akaun. Jana nilai unik untuk setiap perkhidmatan.

Kesalahan 2: Kerumitan Boleh Diramal

P@ssw0rd! kelihatan kompleks tetapi mengikut corak biasa. Rawak lebih baik daripada hiasan.

Kesalahan 3: Penyimpanan Tidak Selamat

Jangan simpan kata laluan sebenar dalam tangkapan skrin, hamparan, mesej sembang, draf e-mel, tiket, kod sumber, atau sejarah shell. Gunakan pengurus kata laluan atau pengurus rahsia.

Kesalahan 4: Mengabaikan Pemulihan

Penyerang mungkin menyasarkan e-mel pemulihan, nombor telefon, kod sandaran, atau peranti yang dipercayai. Semak tetapan pemulihan selepas menukar kata laluan penting.

Cadangan Praktikal

• Gunakan 16–32 aksara rawak.
• Pastikan setiap kata laluan unik.
• Gunakan MFA atau kunci laluan.
• Simpan kelayakan dengan selamat.
• Gantikan kata laluan selepas disyaki terdedah.

Panduan Terperinci

Panduan ini memberi tumpuan kepada mengelakkan tabiat kata laluan harian yang membawa kepada kompromi. Ia ditulis untuk pengguna yang mahukan senarai semak praktikal dan bukannya teori, jadi matlamat praktikal bukanlah untuk membuat tuntutan keselamatan yang dramatik. Matlamatnya adalah untuk memilih tabiat kata laluan yang boleh bertahan dalam penggunaan harian: borang log masuk, pengurus kata laluan, papan kekunci mudah alih, pemulihan akaun, peranti kongsi, dan perkhidmatan sekali-sekala dengan peraturan pengesahan yang pelik. Cadangan yang selamat hanya berguna jika orang sebenar boleh mengikutinya secara konsisten.

Titik permulaan paling selamat adalah rawak ditambah keunikan. Rawak bermaksud nilai dipilih daripada ruang yang besar oleh sumber rawak yang sesuai secara kriptografi, bukan dicipta daripada hari lahir, nama haiwan peliharaan, corak papan kekunci, atau petikan kegemaran. Keunikan bermaksud kata laluan yang sama tidak digunakan di tempat lain. Kata laluan yang panjang tetapi digunakan semula boleh gagal dengan cepat selepas satu kebocoran yang tidak berkaitan, manakala kata laluan rawak unik mengehadkan kerosakan kepada satu akaun di mana ia digunakan.

Untuk topik ini, pratetap praktikal adalah kata laluan rawak unik, penyimpanan lebih selamat, dan kebersihan pemulihan. Anda boleh menggunakan pratetap itu dengan penjana kata laluan 20 aksara dan kemudian simpan nilai akhir dalam pengurus kata laluan yang dipercayai. PwdGen menjana nilai secara setempat dalam pelayar dengan Web Crypto; kata laluan yang dijana tidak dihantar ke pelayan PwdGen. Reka bentuk setempat itu mengurangkan pendedahan di sisi pelayan, tetapi ia tidak melindungi daripada setiap ancaman. Sambungan pelayar berniat jahat, peranti terjejas, halaman pancingan data, atau pengendalian papan klip yang tidak selamat masih boleh mendedahkan rahsia selepas ia dijana.

Masalah paling biasa yang perlu dielakkan adalah penggunaan semula, suntingan boleh diramal, perkongsian dalam sembang, menyimpan tangkapan skrin, mengabaikan tetapan pemulihan, dan menganggap panjang sahaja membetulkan corak manusia. Masalah ini penting kerana penyerang jarang perlu memaksa setiap kemungkinan kata laluan apabila tabiat manusia memberi mereka jalan pintas. Serangan isian kelayakan, pancingan data, senarai kata laluan bocor, dan penyalahgunaan pemulihan akaun selalunya lebih realistik daripada carian matematik tulen. Itulah sebabnya nasihat terbaik menggabungkan kualiti kata laluan dengan kawalan peringkat akaun seperti MFA, kunci laluan, penyimpanan kod pemulihan, dan semakan tetap e-mel atau telefon pemulihan.

Gunakan senarai semak ini semasa menggunakan cadangan:

• Jangan guna semula kata laluan.
• Jangan bina kata laluan daripada fakta peribadi.
• Jangan simpan dalam nota biasa.
• Jangan abaikan kaedah pemulihan dan MFA.

Jika laman web menolak tetapan ideal, jangan paksa kata laluan ke dalam corak yang lebih lemah secara manual. Laraskan satu pembolehubah pada satu masa. Jika simbol ditolak, kekalkan huruf besar, huruf kecil, dan nombor diaktifkan dan tingkatkan panjang. Jika panjang maksimum rendah, gunakan panjang maksimum yang diterima dan pastikan nilai itu unik. Jika kata laluan perlu dibaca dengan kuat, dicetak, atau ditaip pada skrin televisyen atau penghala, pertimbangkan untuk mengecualikan aksara yang mengelirukan dan tingkatkan panjang untuk mengimbangi abjad yang lebih kecil.

Akhir sekali, ingat sempadan nasihat kata laluan. Kata laluan yang kuat adalah satu lapisan pertahanan, bukan jaminan. Ia tidak boleh menjadikan halaman pancingan data selamat, membaiki perisian hasad, atau mengimbangi perkhidmatan yang menyimpan kelayakan dengan buruk. Tabiat berguna adalah membosankan tetapi tahan lama: jana nilai unik, simpan dengan selamat, lindungi laluan pemulihan, dan gantikan dengan cepat jika anda mengesyaki pendedahan.

Langkah seterusnya yang selamat

Selepas membaca panduan ini, lakukan satu audit akaun kecil dan bukannya cuba membetulkan semuanya sekaligus. Pilih akaun yang akan menyebabkan paling banyak masalah jika diambil alih, sahkan bahawa kata laluannya unik, dan periksa e-mel pemulihan, telefon pemulihan, kaedah MFA, dan penyimpanan kod sandaran. Jika mana-mana bahagian rantai itu lemah, perbaiki bahagian itu sebelum beralih ke akaun berisiko rendah. Urutan ini memastikan kerja terkawal dan melindungi akaun yang paling mungkin digunakan oleh penyerang sebagai batu loncatan. Untuk kesalahan kata laluan biasa yang perlu dielakkan, hasil terbaik adalah tabiat yang boleh diulang: jana secara setempat, simpan dengan teliti, dan elakkan penggunaan semula.

Soalan Lazim

Apakah kesalahan kata laluan terbesar?

Menggunakan semula kata laluan adalah salah satu kesalahan terbesar kerana satu kebocoran boleh membuka kunci beberapa akaun.

Adakah penggantian seperti P@ssw0rd selamat?

Tidak. Penyerang tahu penggantian biasa dan mengujinya lebih awal.

Adakah menulis kata laluan dalam nota selamat?

Ia biasanya berisiko. Gunakan pengurus kata laluan atau pengurus rahsia yang dipercayai.