คู่มือความปลอดภัย

รหัสผ่านควรยาวเท่าไหร่?

เรียนรู้ว่าเมื่อใดควรเลือก 12, 16, 20 หรือ 32 ตัวอักษร และเหตุใดความยาว ความเป็นเอกลักษณ์ และการจัดเก็บรหัสผ่านจึงสำคัญกว่าความซับซ้อนที่มองเห็น

สรุป

สำหรับบัญชีสมัยใหม่ส่วนใหญ่ รหัสผ่านแบบสุ่ม 16 ตัวอักษรเป็นพื้นฐานที่แข็งแกร่งในทางปฏิบัติ ใช้ 20 ตัวอักษรขึ้นไปสำหรับบัญชีส่วนตัว อีเมล ธนาคาร ที่ทำงาน หรือผู้ดูแลระบบที่สำคัญ ใช้ 32 ตัวอักษรเมื่อรหัสผ่านจะถูกจัดเก็บในตัวจัดการและปกป้องการเข้าถึงที่มีมูลค่าสูง

ลองใช้เครื่องมือสร้างรหัสผ่าน 16 ตัวอักษร, 20 ตัวอักษร หรือ 32 ตัวอักษร

ช่วงความยาว

รหัสผ่านสั้นเดาง่ายกว่าเพราะมีชุดค่าผสมน้อยกว่า หกถึงเก้าตัวอักษรมักจะสั้นเกินไปสำหรับความปลอดภัยของบัญชี สิบถึงสิบสี่ตัวอักษรอาจเป็นที่ยอมรับในหลายบริการ แต่ไม่ควรถือเป็นจุดหมายปลายทางที่ต้องการสำหรับบัญชีสำคัญ

รหัสผ่านแบบสุ่มสิบหกตัวอักษรเป็นค่าเริ่มต้นที่ดีเมื่อตัวจัดการรหัสผ่านจัดเก็บค่าไว้ ยี่สิบตัวอักษรเพิ่มความปลอดภัยในขณะที่ยังคงเข้ากันได้กับหลายเว็บไซต์ สามสิบสองตัวอักษรมีประโยชน์สำหรับแผงผู้ดูแลระบบ ไฟล์ที่เข้ารหัส ข้อมูลประจำตัวฐานข้อมูล และความลับในเครื่อง

ความยาวแบบสุ่มเทียบกับความยาวของมนุษย์

รหัสผ่านแบบสุ่ม 16 ตัวอักษรแตกต่างอย่างมากจากวลีที่มนุษย์สร้างขึ้น 16 ตัวอักษร การเลือกของมนุษย์มักรวมถึงคำ วันที่ ชื่อ และตอนจบที่คาดเดาได้ ผู้โจมตีทดสอบรูปแบบเหล่านั้นก่อนที่จะพยายาม brute force แบบสุ่ม

คำแนะนำเชิงปฏิบัติ

• ใช้ 16 ตัวอักษรเป็นพื้นฐานปกติ
• ใช้ 20–32 ตัวอักษรสำหรับบัญชีที่มีมูลค่าสูง
• ใช้ passphrase หากการจดจำมีความสำคัญ
• ใช้ค่าที่ตั้งไว้ล่วงหน้าแบบไม่มีสัญลักษณ์หรือไม่กำกวมเมื่อจำเป็นต้องใช้เพื่อความเข้ากันได้เท่านั้น
• อย่าใช้รหัสผ่านซ้ำเพียงเพราะมันยาว

คำแนะนำโดยละเอียด

คู่มือนี้เน้นที่การเลือกความยาวรหัสผ่านสำหรับความเสี่ยงของบัญชีต่างๆ เขียนขึ้นสำหรับผู้อ่านที่เปรียบเทียบตัวเลือก 12, 16, 20, 24 และ 32 ตัวอักษร ดังนั้นเป้าหมายในทางปฏิบัติไม่ใช่การสร้างข้อเรียกร้องด้านความปลอดภัยที่รุนแรง เป้าหมายคือการเลือกนิสัยรหัสผ่านที่สามารถอยู่รอดในการใช้งานประจำวัน: แบบฟอร์มเข้าสู่ระบบ ตัวจัดการรหัสผ่าน คีย์บอร์ดมือถือ การกู้คืนบัญชี อุปกรณ์ที่ใช้ร่วมกัน และบริการที่มีกฎการตรวจสอบที่แปลกประหลาดเป็นครั้งคราว คำแนะนำที่ปลอดภัยจะมีประโยชน์ก็ต่อเมื่อบุคคลจริงสามารถปฏิบัติตามได้อย่างสม่ำเสมอ

จุดเริ่มต้นที่ปลอดภัยที่สุดคือการสุ่มบวกกับความเป็นเอกลักษณ์ การสุ่มหมายถึงค่าที่ถูกเลือกจากพื้นที่ขนาดใหญ่โดยแหล่งสุ่มที่เหมาะสมกับการเข้ารหัส ไม่ใช่การคิดค้นจากวันเกิด ชื่อสัตว์เลี้ยง รูปแบบคีย์บอร์ด หรือคำพูดโปรด ความเป็นเอกลักษณ์หมายถึงรหัสผ่านเดียวกันไม่ได้ใช้ที่อื่น รหัสผ่านที่ยาวแต่ใช้ซ้ำอาจล้มเหลวอย่างรวดเร็วหลังจากการละเมิดที่ไม่เกี่ยวข้องเพียงครั้งเดียว ในขณะที่รหัสผ่านแบบสุ่มที่ไม่ซ้ำกันจะจำกัดความเสียหายให้กับบัญชีเดียวที่ใช้

สำหรับหัวข้อนี้ ค่าที่ตั้งไว้ล่วงหน้าในทางปฏิบัติคือ 16 ตัวอักษรสำหรับบัญชีทั่วไป 20 ตัวอักษรขึ้นไปสำหรับบัญชีสำคัญ และ 32 ตัวอักษรสำหรับความลับที่ถูกจัดเก็บมากกว่าพิมพ์ คุณสามารถใช้ค่าที่ตั้งไว้ล่วงหน้านั้นกับ เครื่องมือสร้างรหัสผ่าน 32 ตัวอักษร จากนั้นจัดเก็บค่าสุดท้ายในตัวจัดการรหัสผ่านที่เชื่อถือได้ PwdGen สร้างค่าในเครื่องในเบราว์เซอร์ด้วย Web Crypto รหัสผ่านที่สร้างขึ้นจะไม่ถูกส่งไปยังเซิร์ฟเวอร์ PwdGen การออกแบบในเครื่องนั้นลดการเปิดเผยฝั่งเซิร์ฟเวอร์ แต่ไม่ได้ป้องกันทุกภัยคุกคาม ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย อุปกรณ์ที่ถูกบุกรุก หน้า phishing หรือการจัดการคลิปบอร์ดที่ไม่ปลอดภัยยังคงสามารถเปิดเผยความลับหลังจากสร้างได้

ปัญหาที่พบบ่อยที่สุดที่ควรหลีกเลี่ยงคือค่าสุ่มสั้น ข้อจำกัดความยาวสูงสุด แบบฟอร์มเก่า และการสมมติว่าจำนวนคงที่ปลอดภัยสำหรับทุกระบบ ปัญหาเหล่านี้มีความสำคัญเพราะผู้โจมตีแทบไม่ต้อง brute-force ทุกรหัสผ่านที่เป็นไปได้เมื่อนิสัยของมนุษย์ทำให้พวกเขามีทางลัด Credential stuffing, phishing, รายการรหัสผ่านที่รั่วไหล และการละเมิดการกู้คืนบัญชีมักจะสมจริงมากกว่าการค้นหาทางคณิตศาสตร์ล้วนๆ นั่นคือเหตุผลที่คำแนะนำที่ดีที่สุดรวมคุณภาพรหัสผ่านเข้ากับการควบคุมระดับบัญชี เช่น MFA, passkeys, การจัดเก็บรหัสกู้คืน และการตรวจสอบอีเมลหรือการตั้งค่าโทรศัพท์สำหรับการกู้คืนเป็นประจำ

ใช้รายการตรวจสอบนี้เมื่อใช้คำแนะนำ:

• ใช้ความยาวมากขึ้นเมื่อไม่อนุญาตให้ใช้สัญลักษณ์
• ตรวจสอบความยาวสูงสุดของปลายทางก่อนบันทึก
• หลีกเลี่ยงการย่อรหัสผ่านเพื่อความสะดวก
• ใช้ passphrase เมื่อการจดจำมีความสำคัญ

หากเว็บไซต์ปฏิเสธการตั้งค่าที่เหมาะสม อย่าบังคับรหัสผ่านให้เป็นรูปแบบที่อ่อนแอกว่าด้วยตนเอง ปรับเปลี่ยนทีละตัวแปร หากสัญลักษณ์ถูกปฏิเสธ ให้เปิดใช้งานตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และตัวเลข และเพิ่มความยาว หากความยาวสูงสุดต่ำ ให้ใช้ความยาวสูงสุดที่ยอมรับและตรวจสอบให้แน่ใจว่าค่าไม่ซ้ำกัน หากต้องอ่านรหัสผ่านออกเสียง พิมพ์ หรือพิมพ์บนหน้าจอทีวีหรือเราเตอร์ ให้พิจารณาไม่รวมอักขระที่ทำให้สับสนและเพิ่มความยาวเพื่อชดเชยตัวอักษรที่เล็กลง

สุดท้าย จำขอบเขตของคำแนะนำรหัสผ่าน รหัสผ่านที่แข็งแกร่งคือชั้นป้องกันชั้นเดียว ไม่ใช่การรับประกัน ไม่สามารถทำให้หน้า phishing ปลอดภัย แก้ไขมัลแวร์ หรือชดเชยบริการที่จัดเก็บข้อมูลประจำตัวอย่างไม่ดี นิสัยที่มีประโยชน์นั้นน่าเบื่อแต่ทนทาน: สร้างค่าที่ไม่ซ้ำกัน จัดเก็บอย่างปลอดภัย ป้องกันเส้นทางการกู้คืน และเปลี่ยนใหม่อย่างรวดเร็วหากคุณสงสัยว่ามีการเปิดเผย

คำถามที่พบบ่อย

12 ตัวอักษรเพียงพอหรือไม่?

รหัสผ่านแบบสุ่ม 12 ตัวอักษรอาจมีประโยชน์สำหรับความเข้ากันได้ แต่ 16 ตัวอักษรขึ้นไปเป็นค่าเริ่มต้นที่ดีกว่าเมื่อบริการยอมรับ

เมื่อใดควรใช้ 20 หรือ 32 ตัวอักษร?

ใช้ 20 ตัวอักษรขึ้นไปสำหรับบัญชีสำคัญ และ 32 ตัวอักษรสำหรับเวิร์กโฟลว์ผู้ดูแลระบบ ไฟล์ที่เข้ารหัส หรือความลับของนักพัฒนาที่จัดเก็บในตัวจัดการรหัสผ่าน

รหัสผ่านยาวเกินไปได้หรือไม่?

บางบริการกำหนดความยาวสูงสุดหรือปฏิเสธสัญลักษณ์ ใช้ค่าสุ่มที่ไม่ซ้ำกันยาวที่สุดที่ปลายทางยอมรับ