Sådan bruger du værktøjet
- Angiv længden med skyderen eller i talfeltet. 16 tegn eller mere er et godt udgangspunkt for adgangskoder, der gemmes i en adgangskodeadministrator.
- Vælg tegntyperne: store bogstaver, små bogstaver, cifre og specialtegn. "Brug alle valgte tegntyper" er slået til som standard og sørger for, at hver adgangskode indeholder mindst ét tegn af hver type.
- Udelad om nødvendigt tegn, der ligner hinanden, som l, 1 og O, tvetydige specialtegn eller bestemte tegn, som et websted afviser.
- Klik på Generér, se vurderingen under Styrke og entropien, og kopiér derefter én adgangskode eller dem alle med Kopiér alle.
Hvad gør en adgangskode stærk
For en tilfældigt genereret adgangskode måles styrken som entropi: length × log2(pool size) bit, hvor puljen er det sæt tegn, der trækkes fra. Hver ekstra bit fordobler antallet af gæt, der skal til. Længden multiplicerer entropien, mens en større pulje kun tilføjer lidt pr. tegn, så længden vinder: En adgangskode på 16 små bogstaver har ca. 11 millioner gange flere muligheder end en på 8 tegn, der blander alle fire typer.
| Længde | Tegn | Pulje | Entropi |
|---|---|---|---|
| 4 | Cifre (en pinkode) | 10 | 13,3 bit |
| 8 | Små bogstaver | 26 | 37,6 bit |
| 8 | Alle fire typer | 89 | 51,8 bit |
| 12 | Bogstaver og cifre | 62 | 71,5 bit |
| 16 | Små bogstaver | 26 | 75,2 bit |
| 16 | Alle fire typer | 89 | 103,6 bit |
| 20 | Alle fire typer | 89 | 129,5 bit |
Alle fire typer giver her en pulje på 89: 26 + 26 + 10 + 27 specialtegn. Værktøjet viser entropien rundet ned til hele bit. Tallene gælder kun for tilfældige adgangskoder; en adgangskode, som et menneske selv finder på, har langt mindre entropi, end længden antyder.
Hvad NIST SP 800-63B anbefaler
NIST SP 800-63B, de amerikanske føderale retningslinjer for digital autentificering, henvender sig til de tjenester, der kontrollerer adgangskoder. Den aktuelle revision, SP 800-63B-4, siger, at de:
- skal kræve mindst 15 tegn, når adgangskoden er den eneste faktor, eller 8 tegn sammen med en anden faktor, og bør tillade mindst 64 tegn;
- ikke må stille sammensætningskrav som "ét stort bogstav, ét ciffer og ét specialtegn" eller kræve periodiske skift, men skal kræve et skift, når der er tegn på, at adgangskoden er kompromitteret;
- skal kontrollere nye adgangskoder mod en blokeringsliste over almindeligt brugte, forventelige eller kompromitterede adgangskoder;
- bør acceptere alle printbare ASCII-tegn og mellemrum og tillade indsættelse, så adgangskodeadministratorer kan bruges.
For brugerne er pointen den samme: Længde og tilfældighed er afgørende, mens forudsigelige udskiftninger som P@ssw0rd1 ikke hjælper.
Adgangskodeadministratorer og adgangssætninger
En genbrugt adgangskode er ofte en større risiko end en kort: Efter et datalæk prøver angribere de lækkede par af e-mailadresse og adgangskode på andre websteder (credential stuffing). Brug en ny, tilfældig adgangskode til hver konto, og lad en adgangskodeadministrator huske dem; så kræver en adgangskode på 20 tegn ikke mere besvær end en på 8 tegn.
Til de få adgangskoder, du skriver efter hukommelsen, som hovedadgangskoden til adgangskodeadministratoren, er en adgangssætning nemmere: ord, der er valgt tilfældigt, for eksempel med terninger og EFF's lange ordliste. Hvert ord fra listens 7.776 ord tilføjer ca. 12,9 bit, så seks ord giver ca. 77,5 bit. Dette værktøj laver adgangskoder af tegn, ikke adgangssætninger; til API-nøgler og andre maskinhemmeligheder kan du bruge generatoren til tilfældig Base64.
Sådan fungerer generatoren
Adgangskoderne oprettes på din enhed med crypto.getRandomValues(), browserens kryptografisk sikre generator af tilfældige tal, og de bliver aldrig sendt eller gemt. En simpel modulo-operation ville gøre nogle tegn en smule mere sandsynlige end andre, så værktøjet bruger afvisningssampling (rejection sampling): Tilfældige 32-bit-værdier, der er lig med eller større end det største multiplum af puljens størrelse, trækkes igen, så alle tegn er præcis lige sandsynlige.
Udelad tegn, der ligner hinanden fjerner i l 1 L o 0 O, hvilket er nyttigt, når en adgangskode læses højt eller skrives af fra papir, som med Wi-Fi-nøgler. Udelad tvetydige specialtegn fjerner alle slags parenteser, skråstreg, tilde og , ; : ., som nogle formularer, shells og konfigurationsfiler håndterer dårligt, så ! @ # $ % ^ & * - _ = + ? er tilbage. Begge indstillinger gør puljen mindre, så tilføj et tegn eller to for at kompensere.
Ofte stillede spørgsmål
Hvor lang skal en adgangskode være?
Mindst 15 tegn for en konto, der kun er beskyttet af en adgangskode, hvilket er det minimum, NIST SP 800-63B-4 fastsætter for adgangskoder som eneste faktor. Med en adgangskodeadministrator koster 16 til 24 tilfældige tegn dig ingenting. Til adgangskoder, du ofte skriver, kan du overveje en adgangssætning på fem eller seks tilfældige ord.
Er det sikkert at bruge en adgangskode, der er genereret på et websted?
crypto.getRandomValues(), og adgangskoderne bliver ikke sendt, logget eller gemt. Kopiér den, du skal bruge, direkte over i din adgangskodeadministrator.Hvad betyder entropien i bit?
Det er 2-talslogaritmen af det antal adgangskoder, dine indstillinger kan give. 80 bit betyder 2 i 80. potens mulige adgangskoder, og hver ekstra bit fordobler arbejdet med at gætte. Tallet beskriver, hvordan adgangskoden er genereret, så det gælder kun for tilfældige adgangskoder.
Bør jeg skifte mine adgangskoder regelmæssigt?
Ikke efter en fast plan. NIST SP 800-63B-4 siger, at tjenester ikke må tvinge brugerne til periodiske skift, fordi folk reagerer med forudsigelige variationer. Skift en adgangskode, når en tjeneste melder om et sikkerhedsbrud, når den optræder i et læk, eller når du har mistanke om, at andre kender den.
Bliver en adgangskode stærkere af, at alle tegntyper skal bruges?
Nej. Indstillingen Brug alle valgte tegntyper, som er slået til som standard, sørger kun for, at websteder med sammensætningskrav accepterer adgangskoden. Værktøjet kasserer og genererer adgangskoder igen, hvis de mangler en valgt type. Det udelukker nogle kombinationer og sænker den reelle entropi en smule, mest mærkbart for korte adgangskoder, så det viste tal er en øvre grænse. Større længde er den bedste måde at opnå mere styrke på.