Giới thiệu về trình tạo này
Cài đặt trước này tạo một thông tin đăng nhập cơ sở dữ liệu ngẫu nhiên cho người dùng ứng dụng MongoDB. PwdGen độc lập với MongoDB và không kết nối với Atlas hoặc nhận giá trị đã tạo.
Cài đặt sẵn này bắt đầu với chế độ characters và tạo 10 kết quả độc lập mỗi lần. Mọi cài đặt hiển thị đều có thể điều chỉnh và các giá trị được tạo không được gửi đến PwdGen.
Khi nào nên sử dụng
- Tạo thông tin đăng nhập mới cho trường hợp sử dụng cụ thể này
- Thay thế mật khẩu yếu hoặc đã dùng lại
- Tạo giá trị cục bộ trước khi lưu trữ an toàn
Kích thước bảng chữ cái, entropy và giả định brute-force
Trần entropy lý thuyết được tính là H = L × log2(A), trong đó L là độ dài được tạo và A là số ký tự hiện được phép.
| Độ dài | Bảng chữ cái | Không gian tìm kiếm | Trần entropy | Trung bình ở 10 tỷ lần đoán/giây |
|---|---|---|---|---|
| 24 | 68 | 6824 | 146.1 bit | 1.51e26 years |
Quan trọng: đây là các ước tính toán học cho các giá trị ngẫu nhiên đồng nhất. Các vị trí bắt buộc, số lượng hạn chế, mật khẩu lặp lại, mẫu từ điển, thông tin xác thực bị rò rỉ và chi phí băm mật khẩu thực tế có thể thay đổi kết quả đáng kể. Con số này không phải là một đảm bảo bảo mật.
Hướng dẫn triển khai thông tin xác thực MongoDB
Tạo người dùng cơ sở dữ liệu riêng biệt cho ứng dụng, quản trị viên, sao lưu và tự động hóa. Chỉ cấp cho mỗi danh tính các vai trò cần thiết và lưu trữ thông tin xác thực bên ngoài mã nguồn.
Tạo giá trị an toàn URL với Node.js
node -e "console.log(require('crypto').randomBytes(24).toString('base64url'))"- Lưu trữ MONGODB_URI trong trình quản lý bí mật hoặc biến môi trường được bảo vệ.
- Mã hóa phần trăm tên người dùng và mật khẩu khi được yêu cầu bởi URI chuỗi kết nối.
- Sử dụng SCRAM-SHA-256 để xác thực và TLS để bảo vệ truyền tải; cái này không thay thế cái kia.
- Kết hợp thông tin xác thực với Danh sách truy cập IP Atlas hoặc các biện pháp kiểm soát mạng tương đương.
- Luân chuyển thông tin xác thực khi nghi ngờ bị lộ và xác minh rằng thông tin xác thực cũ đã bị thu hồi.
Cách sử dụng kết quả một cách an toàn
- Kiểm tra quy tắc mật khẩu hiện tại của đích đến
- Sử dụng kết quả duy nhất và bật MFA nếu có
- Lưu trữ mã khôi phục riêng biệt với mật khẩu
Phương pháp tạo và quyền riêng tư
Cài đặt sẵn sử dụng Web Crypto API của trình duyệt để chọn ngẫu nhiên. Việc tạo lại, thay đổi cài đặt, chọn và sao chép kết quả không gửi thông tin xác thực được tạo đến PwdGen. Công cụ ước tính thời gian bẻ khóa mật khẩu cũng chạy cục bộ và là ước tính, không phải đảm bảo.
Trình tạo mật khẩu Mongodb FAQ
Tôi có thể đặt mật khẩu MongoDB trực tiếp trong chuỗi kết nối không?
Tránh mã hóa cứng nó. Lưu trữ chuỗi kết nối trong trình quản lý bí mật hoặc biến môi trường được bảo vệ, và mã hóa phần trăm các ký tự tên người dùng hoặc mật khẩu khi định dạng URI yêu cầu.
SCRAM-SHA-256 có thay thế TLS không?
Không. SCRAM xác thực người dùng cơ sở dữ liệu, trong khi TLS bảo vệ lưu lượng truy cập trong quá trình vận chuyển. Các triển khai sản xuất thường cần cả hai cùng với các kiểm soát truy cập mạng phù hợp.
Mọi ứng dụng MongoDB có nên sử dụng một người dùng cơ sở dữ liệu riêng không?
Có. Các danh tính ứng dụng, quản trị viên, sao lưu và tự động hóa riêng biệt giúp thực thi các vai trò đặc quyền tối thiểu, kiểm toán và xoay vòng thông tin đăng nhập dễ dàng hơn.