เชี่ยวชาญรหัสผ่านที่แข็งแกร่ง: คำแนะนำที่พิสูจน์แล้วสำหรับบัญชีที่ปลอดภัย

โดย Ramesh Natarajan

วันที่ 8 มิถุนายน 2008

"จัดการกับรหัสผ่านเหมือนแปรงสีฟันของคุณ อย่าปล่อยให้คนอื่นใช้ และเปลี่ยนใหม่ทุกหกเดือน" – Clifford Stoll

เมื่อคุณสร้างบัญชีบนเว็บไซต์ คุณอาจมี "ความยากลำบากของรหัสผ่าน" เป็นสักครู่ ความยากลำบากคือ ควรให้รหัสผ่านที่อ่อนแอซึ่งจดจำง่าย หรือรหัสผ่านที่แข็งแกร่งซึ่งจดจำยาก กฎและแนวทางต่อไปนี้อาจช่วยคุณเอาชนะความยากลำบากของรหัสผ่าน และช่วยสร้างรหัสผ่านที่แข็งแกร่งและปลอดภัย นี่คือสิ่งที่ผมใช้มาหลายปีจากความสนใจของตัวเองในด้านการรักษาความปลอดภัยของรหัสผ่าน

I. กฎรหัสผ่านสองข้อที่จำเป็น:

สองกฎต่อไปนี้เป็นขั้นต่ำที่คุณควรปฏิบัติขณะสร้างรหัสผ่าน

กฎ 1 – ความยาวรหัสผ่าน: ใช้รหัสผ่านที่มีความยาวอย่างน้อย 8 ตัวอักษร ยิ่งมีตัวอักษรมากในรหัสผ่าน ยิ่งดี เพราะเวลาที่โจมตีใช้แคร็กรหัสผ่านจะนานขึ้น 10 ตัวอักษรขึ้นไปดีกว่า

กฎ 2 – ความซับซ้อนของรหัสผ่าน: ควรมีอย่างน้อยหนึ่งตัวอักษรจากแต่ละกลุ่มต่อไปนี้ อย่างน้อย 4 ตัวอักษรในรหัสผ่านของคุณควรเป็นแต่ละอย่างต่อไปนี้

ตัวอักษรพิมพ์เล็ก
ตัวอักษรพิมพ์ใหญ่
ตัวเลข
อักขระพิเศษ

ผมเรียกสองกฎข้างต้นรวมกันว่า “กฎ 8 4” (Eight Four Rule):

8 = ความยาวขั้นต่ำ 8 ตัวอักษร
4 = 1 ตัวพิมพ์เล็ก + 1 ตัวพิมพ์ใหญ่ + 1 ตัวเลข + 1 อักขระพิเศษ

เพียงปฏิบัติตาม "กฎ 8 4" จะเป็นการปรับปรุงมากและทำให้รหัสผ่านของคุณแข็งแกร่งขึ้นทันทีสำหรับส่วนใหญ่ของคุณที่ไม่ปฏิบัติตามแนวทางหรือกฎใดๆ ขณะสร้างรหัสผ่าน หากรหัสผ่านของธนาคารและเว็บไซต์ที่เกี่ยวข้องกับการเงินไม่ปฏิบัติตาม "กฎ 8 4" ผมแนะนำอย่างยิ่งให้หยุดทุกอย่างตอนนี้และเปลี่ยนรหัสผ่านเหล่านั้นทันทีให้ปฏิบัติตาม "กฎ 8 4"

II. แนวทางสำหรับการสร้างรหัสผ่านที่แข็งแกร่ง:

ปฏิบัติตาม "กฎ 8 4" ตามที่กล่าวไว้ข้างต้น นี่คือรากฐานของการสร้างรหัสผ่านที่แข็งแกร่ง
ตัวอักษรที่ไม่ซ้ำกัน ควรมีตัวอักษรที่ไม่ซ้ำกันอย่างน้อย 5 ตัว คุณมีตัวอักษรที่ต่างกัน 4 ตัวแล้วหากปฏิบัติตาม "กฎ 8 4"
ใช้ Password Manager รหัสผ่านที่แข็งแกร่งจดจำยาก ดังนั้นส่วนหนึ่งของการสร้างรหัสผ่านที่แข็งแกร่งคุณต้องการวิธีที่น่าเชื่อถือและน่าเชื่อถือในการจดจำรหัสผ่านที่แข็งแกร่ง การใช้เครื่องมือจัดการรหัสผ่านเพื่อเก็บรหัสผ่านควรกลายเป็นนิสัย ทุกครั้งที่สร้างรหัสผ่าน ให้บันทึกลงในเครื่องมือ password manager ที่จะเข้ารหัสรหัสผ่านและเก็บไว้อย่างปลอดภัย ผมแนะนำ Password Dragon (โฆษณาเอง ผมคือผู้พัฒนาซอฟต์แวร์นี้) password manager ฟรี ง่าย และปลอดภัย ทำงานบน Windows, Linux และ Mac ยังสามารถเปิดใช้จาก USB drive ได้ มี password manager ฟรีเยอะมาก เลือกอันที่เหมาะกับความชอบและใช้ได้
ใช้ Passphrase หากไม่อยากใช้ password management tool ใช้ Passphrase เพื่อจดจำรหัสผ่านได้ง่าย คุณสามารถใช้ตัวอักษรแรกของเพลงหรือวลีที่คุ้นเคยมาก เช่น "Passwords are like underwears, change yours often!" สามารถแปลงเป็นรหัสผ่านที่แข็งแกร่ง "Prlu,Curs0!"

III. แนวทางสำหรับการหลีกเลี่ยงรหัสผ่านที่อ่อนแอ:

หลีกเลี่ยงสิ่งต่อไปนี้ในรหัสผ่านของคุณ แม้แค่ส่วนหนึ่งของรหัสผ่านก็ไม่ควรเป็นอะไรในรายการต่อไปนี้

รหัสผ่านเหมือน username หรือส่วนหนึ่งของ username
ชื่อสมาชิกในครอบครัว เพื่อน หรือสัตว์เลี้ยง
ข้อมูลส่วนตัวเกี่ยวกับคุณหรือครอบครัว รวมถึงข้อมูลทั่วไปที่ได้รับเกี่ยวกับคุณง่ายๆ เช่น วันเกิด เบอร์โทรศัพท์ หมายเลขทะเบียนรถ ชื่อถนน หมายเลขอพาร์ทเมนต์/บ้าน ฯลฯ
ลำดับ ตัวอักษร ตัวเลข หรือปุ่มบนคีย์บอร์ดที่ติดกัน เช่น abcde, 12345, qwert
คำในพจนานุกรม คำในพจนานุกรมพร้อมตัวเลขหรือตัวอักษรหน้า หรือหลัง
คำจริงจากภาษาใดๆ
คำที่พบในพจนานุกรมพร้อมการแทนที่ตัวเลขสำหรับตัวอักษรที่คล้ายกัน เช่น แทนที่ตัวอักษร O ด้วยตัวเลข 0 คือ passw0rd
รายการข้างต้นใดๆ ในลำดับย้อนกลับ
รายการข้างต้นใดๆ พร้อมตัวเลขหน้าหรือหลัง
รหัสผ่านว่าง

IV. ตรรกะทั่วไปเกี่ยวกับรหัสผ่าน:

จุดต่อไปนี้ทั้งหมดไม่มีอะไรใหม่และเป็นตรรกะทั่วไปมาก แต่ส่วนใหญ่ของเวลา เรามักละเลยสิ่งเหล่านี้

สร้างรหัสผ่านที่ไม่ซ้ำกันทุกครั้ง เมื่อเปลี่ยนรหัสผ่านสำหรับบัญชีที่มีอยู่แล้ว ควรไม่เหมือนรหัสผ่านก่อนหน้า นอกจากนี้ อย่าใช้รหัสผ่านเพิ่มเติมขณะเปลี่ยน เช่น password1, password2 ฯลฯ
เปลี่ยนรหัสผ่านสำหรับบัญชีทั้งหมดทุก 6 เดือน เนื่องจากรหัสผ่านมีความยาวคงที่ การโจมตี brute-force เพื่อเดารหัสผ่านจะสำเร็จเสมอหากโจมตีมีเวลาและกำลังประมวลผลเพียงพอ ดังนั้นแนะนำให้เปลี่ยนรหัสผ่านบ่อยๆ จัดตารางนัดหมายซ้ำบนปฏิทินเพื่อเปลี่ยนรหัสผ่านทุก 6 เดือน
อย่าจดรหัสผ่านลงกระดาษ การสร้างรหัสผ่านแข็งแกร่งและจดลงกระดาษ แย่เท่ากับการสร้างรหัสผ่านอ่อนแอที่จดจำง่ายและไม่จดไว้ที่ไหน มีสำรวจน่าสนใจหลายอย่างเกี่ยวกับเรื่องนี้ พบว่าคนหลายคนจดรหัสผ่านและเก็บไว้ที่ใกล้คอมพิวเตอร์ บางคนคิดว่ากระดาษโพสต์อิตรายใต้เมาส์แพดปลอดภัยพอ คุณไม่ควรจดรหัสผ่านลงกระดาษ หากต้องการพกพารหัสผ่านตลอดเวลา ใช้ password manager tool ที่รันจาก USB stick และพกพาตลอดเวลา
อย่าแชร์กับใคร ใครก็รวมถึงเพื่อนและครอบครัว อาจได้ยินวลี "รหัสผ่านเหมือนชั้นใน อย่าแชร์กับใคร" เราสอนลูกหลายอย่างในชีวิต การสอนเรื่องความปลอดภัยออนไลน์และไม่แชร์รหัสผ่านกับใคร ควรเป็นหนึ่งในนั้น
อย่าใช้รหัสผ่านเดียวกันสำหรับสองเว็บไซต์ที่ต่างกัน น่ากระหายใจมากที่จะสร้างชุดรหัสผ่านหนึ่งสำหรับอีเมลทั้งหมด อีกชุดสำหรับธนาคารทั้งหมด อีกชุดสำหรับโซเชียลเน็ตเวิร์ก ฯลฯ หลีกเลี่ยงความลured นี้และใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับบัญชีทั้งหมด
อย่าพิมพ์รหัสผ่านเมื่อมีคนมองดูจากหลังไหล่ สิ่งนี้สำคัญมากหากคุณพิมพ์ช้าและหาตัวอักษรบนคีย์บอร์ดและพิมพ์ด้วยนิ้วเดียว เพราะคนมองดูจากหลังไหล่จะเดารหัสผ่านได้ง่าย
อย่าส่งรหัสผ่านให้ใครทางอีเมล หากปฏิบัติตาม #3 ข้างต้น สิ่งนี้ไม่ควรเป็นตัวเลือก แตเหตุที่ผมระบุอย่างชัดเจน เพราะแฮกเกอร์หลายคนส่งอีเมลแทนเจ้าหน้าที่สนับสนุน และขอ username และ password ผ่านอีเมล เว็บไซต์หรือองค์กรที่ถูกต้องจะไม่ขอ username และ password ของคุณผ่านอีเมลหรือโทรศัพท์
เปลี่ยนรหัสผ่านทันทีเมื่อถูกขโมย แม้คุณจะสงสัยนิดเดียวว่าคนอาจขโมยรหัสผ่านของคุณ ให้เปลี่ยนทันที อย่าสูญเสียแม้แต่วินาที
อย่าใช้ตัวเลือก "Remember password" บนเบราว์เซอร์โดยไม่ตั้ง Master Password อย่าใช้ฟีเจอร์นี้ของเบราว์เซอร์เก็บ username และ passwords โดยไม่เปิดใช้งานตัวเลือก "Master Password" หากไม่ตั้ง master password บน firefox browser ใครก็ตามที่ใช้ firefox browser ของคุณสามารถดูรหัสผ่านทั้งหมดที่เก็บใน firefox แบบ plain text ได้ นอกจากนี้ ให้ระมัดระวังกับตัวเลือกนี้และพิมพ์ 'Not Now' ในป๊อปอัพ remember password เมื่อใช้ระบบที่ไม่ใช่ของคุณ
อย่าพิมพ์รหัสผ่านบนคอมพิวเตอร์ที่ไม่ใช่ของคุณ หากเป็นไปได้ อย่าใช้คอมพิวเตอร์ของคนอื่นที่คุณไมเชื่อถือ เพื่อล็อกอินเว็บไซต์ใดๆ โดยเฉพาะเว็บไซต์ที่ละเอียดอ่อนอย่างการธนาคาร นี่เป็นแนวทางทั่วไปของแฮกเกอร์ที่ใช้ key loggers ซึ่งจะบันทึก keystrokes ทั้งหมดบนระบบ จะจับทุกอย่างที่คุณพิมพ์รวมถึงรหัสผ่าน

โปรดทิ้งความคิดเห็นเกี่ยวกับโพสต์นี้ หากคุณปฏิบัติตามวิธีหรือกฎที่ต่างกันสำหรับการสร้างรหัสผ่านที่แข็งแกร่ง โปรดแบ่งปันกับทุกคนในความคิดเห็น

หากคุณชอบโพสต์นี้ โปรดบุ๊กมาร์กบน del.icio.us and Stumble it.

หากคุณชอบบทความนี้ คุณอาจชอบ...

แท็ก: authentication, Passphrase Security, Password, Password Security, Password Strength, random password, Safe Password, Strong Password, strong password policy, strong pwd