Δημιουργία ασφαλούς κωδικού

Το 2026, οι τρέχουσες προτάσεις (ANSSI, NIST, OWASP) περιστρέφονται γύρω από τουλάχιστον 12 χαρακτήρες για έναν τυπικό λογαριασμό και 16 χαρακτήρες ή περισσότερους για έναν ευαίσθητο λογαριασμό (διαχειριστής, χρηματοκιβώτιο, κύριο email). Με ένα πλήρες αλφάβητο 94 εκτυπώσιμων χαρακτήρων, ένας κωδικός πρόσβασης 12 χαρακτήρων επιτυγχάνει ήδη περίπου 78 bit εντροπίας, η οποία είναι ανθεκτική σε επίθεση ωμής βίας εκτός σύνδεσης σε καταναλωτικό υλικό.

Το μήκος κερδίζει με μεγάλη διαφορά. Ο διπλασιασμός του μήκους ενός κωδικού πρόσβασης πολλαπλασιάζει τον χώρο αναζήτησής του κατά έναν τεράστιο παράγοντα, ενώ η προσθήκη μιας κατηγορίας χαρακτήρων επεκτείνει μόνο το αλφάβητο. Μια πεζή φράση πρόσβασης 20 χαρακτήρων είναι ισχυρότερη από μια λέξη 8 χαρακτήρων με κεφαλαία γράμματα, αριθμούς και σύμβολα. Γι' αυτό επιλέξτε μακρούς κωδικούς πρόσβασης πριν προσπαθήσετε να τους κάνετε εξωτικούς.

Η εντροπία μετρά την μη προβλεψιμότητα του κωδικού πρόσβασης, εκφρασμένη σε bit. Για έναν πραγματικά τυχαίο κωδικό μήκους L που προέρχεται από ένα αλφάβητο χαρακτήρων N, η εντροπία είναι L × log2(N). Ένας κωδικός 12 χαρακτήρων που έχει σχεδιαστεί τυχαία από 94 σύμβολα παρέχει περίπου 78 bit. Κάτω από 60 bit, θεωρούμε ότι ο κωδικός πρόσβασης μπορεί να επιτεθεί εκτός σύνδεσης. Πέρα από τα 80 bit γίνεται εκτός πρακτικής εμβέλειας.

Όχι. Η δημιουργία πραγματοποιείται στο πρόγραμμα περιήγησής σας χρησιμοποιώντας το crypto.getRandomValues(), το κρυπτογραφικά ασφαλές API που εκτίθεται από τα σύγχρονα προγράμματα περιήγησης. Δεν αποστέλλονται κωδικοί πρόσβασης στον διακομιστή, ούτε έχουν καταγραφεί, ούτε αποθηκεύονται προσωρινά. Μπορείτε να χρησιμοποιήσετε το εργαλείο εκτός σύνδεσης μετά την αρχική φόρτωση της σελίδας, καθιστώντας το ένα ασφαλές εργαλείο για τη δημιουργία ευαίσθητων μυστικών.

Οι συστάσεις έχουν εξελιχθεί. Το NIST και το ANSSI προτείνουν τώρα την τακτική αυτόματη περιστροφή χωρίς λόγο: ωθεί τους χρήστες να επιλέγουν αδύναμες παραλλαγές. Αλλάξτε έναν κωδικό πρόσβασης μόνο εάν υποψιάζεστε ότι ένας κωδικός έχει παραβιαστεί, εάν εμφανίζεται σε διαρροή (δοκιμή στο Have I Been Pwned) ή εάν είναι κοινόχρηστος με κάποιον που δεν έχει πλέον πρόσβαση σε αυτόν. Αντίθετα, χρησιμοποιήστε μεγάλους κωδικούς πρόσβασης, μοναδικούς ανά ιστότοπο, αποθηκευμένους σε έναν διαχειριστή.

Οι σύγχρονες επιθέσεις δεν δοκιμάζουν συνδυασμούς έναν προς έναν, ξεκινούν από τεράστια λεξικά (λέξεις, ονόματα, ημερομηνίες, μοτίβα αντικατάστασης όπως @ για a) και στη συνέχεια εφαρμόζουν κανόνες μετάλλαξης. Ο Password123! πέφτει σε λίγα δευτερόλεπτα. Προτιμήστε έναν πραγματικά τυχαίο κωδικό πρόσβασης που δημιουργείται από ένα εργαλείο όπως αυτό ή μια φράση πρόσβασης που αποτελείται από πολλές ανεξάρτητες λέξεις που έχουν σχεδιαστεί τυχαία (μέθοδοςdiceware).