Γεννήτρια φράσεων-κλειδιών

Πόσο ισχυρή είναι μια φράση πρόσβασης; Οι πραγματικοί αριθμοί

Η γεννήτρια αυτής της σελίδας επιλέγει λέξεις από μια λίστα 506 μοναδικών λέξεων για αυτή τη γλώσσα — κάθε λέξη προσθέτει περίπου 9 bits εντροπίας. Ο πίνακας δείχνει πόσο χρόνο θα χρειαζόταν κατά μέσο όρο ένας επιτιθέμενος, με την παραδοχή ότι γνωρίζει ήδη και τη λίστα λέξεων και τον αριθμό των λέξεων.

Πρακτικός κανόνας: τουλάχιστον 6 λέξεις για διαδικτυακούς λογαριασμούς, 8 ή περισσότερες για τον κύριο κωδικό ενός διαχειριστή κωδικών ή για κρυπτογράφηση αρχείων.

* Επίθεση σε σύνδεση ιστού, περ. 1.000 προσπάθειες το δευτερόλεπτο. ** Επίθεση σε διαρρεύσαν hash κωδικού, περ. 1 τρισεκατομμύριο (10¹²) προσπάθειες το δευτερόλεπτο.

Συχνές ερωτήσεις για τις φράσεις πρόσβασης

Τι είναι μια φράση πρόσβασης;

Η φράση πρόσβασης είναι ένας κωδικός φτιαγμένος από πολλές τυχαία επιλεγμένες λέξεις — στο στιλ «άλογο σωστό μπαταρία συνδετήρας». Η ιδέα, γνωστή από το Diceware, είναι ότι λίγες τυχαίες λέξεις απομνημονεύονται πολύ πιο εύκολα από μια συμβολοσειρά όπως Xk#9v!2p, ενώ ο αριθμός των πιθανών συνδυασμών παραμένει αστρονομικός. Οι λέξεις πρέπει να επιλέγονται τυχαία: ένα απόφθεγμα ή μια δική σας πρόταση είναι πολύ πιο αδύναμη.

Πόσες λέξεις πρέπει να έχει μια φράση πρόσβασης;

Κάθε λέξη από τη λίστα της σελίδας προσθέτει περίπου 9 bits εντροπίας: 4 λέξεις ≈ 36 bits, 6 λέξεις ≈ 54 bits, 8 λέξεις ≈ 72 bits. Πρακτικός κανόνας: τουλάχιστον 6 λέξεις για διαδικτυακούς λογαριασμούς, 8 ή περισσότερες για τον κύριο κωδικό ενός διαχειριστή κωδικών ή για κρυπτογράφηση αρχείων.

Είναι μια φράση πρόσβασης πιο ασφαλής από έναν κανονικό κωδικό;

Στην πράξη, ναι. Οι κωδικοί που επινοούν οι άνθρωποι περιέχουν συνήθως μόνο 20–30 bits εντροπίας — ονόματα, μοτίβα και χρονολογίες είναι προβλέψιμα. Έξι τυχαίες λέξεις από αυτή τη λίστα δίνουν περίπου 54 bits, και η ισχύς προέρχεται από γνήσια τυχαιότητα και όχι από αντικαταστάσεις τύπου P@ssw0rd, που τα εργαλεία σπασίματος δοκιμάζουν πρώτες.

Η λίστα λέξεων είναι δημόσια — δεν είναι πρόβλημα αυτό;

Όχι. Ο παραπάνω πίνακας ήδη υποθέτει ότι ο επιτιθέμενος έχει τη λίστα και ξέρει τον αριθμό των λέξεων. Η ασφάλεια βρίσκεται αποκλειστικά στον αριθμό των συνδυασμών (αρχή του Kerckhoffs: ένα σύστημα πρέπει να παραμένει ασφαλές ακόμη κι όταν όλα εκτός από το κλειδί είναι γνωστά). Το κρίσιμο είναι οι λέξεις να επιλέγονται πραγματικά τυχαία — κάτι που γίνεται τοπικά στον browser σας με το Web Crypto API.