Υπολογιστής Ισχύος Κωδικού Πρόσβασης

Η εντροπία κωδικού πρόσβασης είναι το χρυσό πρότυπο για τη μέτρηση της ισχύος ενός κωδικού. Ο υπολογιστής εντροπίας κωδικών μας δείχνει ακριβώς πόσα bit τυχαιότητας περιέχει ο κωδικός σας.

Περισσότερα bit εντροπίας σημαίνουν εκθετικά περισσότερους συνδυασμούς που πρέπει να δοκιμάσει ένας εισβολέας. Στοχεύστε σε 80+ bit για σημαντικούς λογαριασμούς.

Πόσο χρόνο θα χρειαζόταν κάποιος για να παραβιάσει τον κωδικό σας; Ο υπολογιστής χρόνου brute force εκτιμά τον χρόνο παραβίασης με βάση σύγχρονα συμπλέγματα GPU (10 δισεκατομμύρια δοκιμές/δευτερόλεπτο).

Δείτε τη δραματική διαφορά μεταξύ ενός κωδικού 6 χαρακτήρων (λεptά) και ενός κωδικού 16 χαρακτήρων (αιώνες).

Οι καλύτεροι κωδικοί συνδυάζουν μήκος και πολυπλοκότητα. Χρησιμοποιήστε 12+ χαρακτήρες αναμιγνύοντας κεφαλαία, πεζά, αριθμούς και σύμβολα. Ή χρησιμοποιήστε μια φράση-σύνθημα (passphrase) με 4+ τυχαίες λέξεις.

Αποφύγετε προσωπικές πληροφορίες, κοινές λέξεις και προβλέψιμα μοτίβα. Ο ελεγκτής ισχύος κωδικών μας δείχνει ακριβώς τι κάνει τον κωδικό σας ισχυρό ή αδύναμο.

Η εντροπία κωδικού πρόσβασης είναι μια μέτρηση της απρόβλεπτης φύσης, εκφρασμένη σε bit, η οποία εκτιμά πόσο δύσκολο είναι να μαντέψει κάποιος έναν κωδικό. Υπολογίζεται ως E = L × log2(R), όπου L είναι το μήκος του κωδικού και R είναι το μέγεθος της ομάδας χαρακτήρων (26 πεζά, 26 κεφαλαία, 10 ψηφία και περίπου 33 κοινά σύμβολα).

Κάθε επιπλέον bit εντροπίας διπλασιάζει τον αριθμό των δοκιμών που πρέπει να κάνει ένας εισβολέας. Αυτό το μοντέλο θεωρίας πληροφοριών ανάγεται στο θεμελιώδες έργο του Claude Shannon για τη θεωρία πληροφοριών, και το NIST SP 800-63B συζητά την ισχύ των κωδικών όσον αφορά την αντίσταση στις μαντεψιές αντί για άκαμπτους κανόνες σύνθεσης.

Η υψηλότερη εντροπία σημαίνει σταθερά έναν πιο ανθεκτικό κωδικό.

Μια επίθεση βίαιης ισχύος (brute-force) παραβιάζει τους κωδικούς δοκιμάζοντας συστηματικά κάθε πιθανό συνδυασμό χαρακτήρων μέχρι να ταιριάξει κάποιος. Ωστόσο, οι εισβολέας σπάνια ξεκινούν στα τυφλά: πρώτα εκτελούν επιθέσεις λεξικού και βασισμένες σε κανόνες με εργαλεία όπως το Hashcat ή το John the Ripper, δοκιμάζοντας λίστες διαρρηγμένων κωδικών και κοινές αντικatαστάσεις προτού καταφύγουν σε εξαντλητική αναζήτηση.

Τα σύγχρονα συμπλέγματα GPU μπορούν να υπολογίσουν δισεκατομμύρια δοκιμές κατακερματισμού (hash) ανά δευτερόλεπτο, γι' αυτό και οι σύντομοι κωδικοί πέφτουν γρήγορα. Σύμφωνα με τις οδηγίες του OWASP, οι υπεύθυνοι άμυνας θα πρέπει να επιβραδύνουν τους εισβολείς κατακερματίζοντας τους αποθηκευμένους κωδικούς με αλγορίθμους βαρέος μνήμης όπως bcrypt, scrypt ή Argon2 αντί για γρήγορα hashes όπως MD5 ή SHA-1.

Η εντροπία καθορίζει πόσες δοκιμές απαιτεί τελικά η βίαιη ισχύς.

Το μήκος του κωδικού πρόσβασης αυξάνει την ασφάλεια ταχύτερα από την προσθήκη ειδικών χαρακτήρων, επειδή η εντροπία κλιμακώνεται γραμμικά με το μήκος αλλά μόνο λογαριθμικά με τη δεξαμενή χαρακτήρων. Η προσθήκη ενός ακόμη χαρακτήρα σε έναν κωδικό πρόσβασης με πεζά γράμματα πολλαπλασιάζει κατά προσέγγιση τον χώρο αναζήτησης, ενώ η αντικατάσταση ενός γράμματος με ένα σύμβολο προσθέτει μόνο ένα κλάσμα ενός bit.

Το πρότυπο NIST SP 800-63B αντικατοπτρίζει αυτό το γεγονός καταργώντας τους υποχρεωτικούς κανόνες πολυπλοκότητας και ενθαρρύνοντας αντίθετα μεγαλύτερους κωδικούς πρόσβασης και φράσεις πρόσβασης έως 64 χαρακτήρες ή περισσότερους. Μια φράση 20 χαρακτήρων μόνο με πεζά μπορεί να ξεπεράσει έναν κωδικό 8 χαρακτήρων γεμάτο σύμβολα.

Για αξέχαστη ισχύ, δώστε προτεραιότητα πρώτα στο μήκος και μετά ποικιλία.

Οι φράσεις πρόσβασης είναι συχνά πιο ασφαλείς και πιο εύχρηστες από τους σύντομους σύνθετους κωδικούς πρόσβασης, επειδή το μήκος τους προσφέρει υψηλή εντροπία παραμένοντας αξιομνημόνευτο. Μια φράση πρόσβασης από τέσσερις ή περισσότερες πραγματικά τυχαίες λέξεις που λαμβάνονται από μια μεγάλη λίστα λέξεων, όπως οι λίστες EFF Diceware, αποδίδει ισχυρή εντροπία χωρίς να απαιτείται η απομνημόνευση δύσκολων συμβολοσειρών.

Το κλειδί είναι η τυχαιότητα: μια ατάκα ταινίας ή μια κοινή φράση προσφέρει μικρή προστασία επειδή οι επιτιθέμενοι περιλαμβάνουν τέτοιες φράσεις στα λεξικά τους. Το NIST SP 800-63B υποστηρίζει ρητά τα μακροσκελή απομνημονευμένα μυστικά και επιτρέπει κενά.

Επιλέξτε ανεξάρτητες, τυχαία επιλεγμένες λέξεις και όχι μια γραμματικά σημαντική πρόταση.

Ο κατακερματισμός κωδικών πρόσβασης προστατεύει τα αποθηκευμένα διαπιστευτήρια μετατρέποντας έναν κωδικό πρόσβασης σε μια τιμή σταθερού μήκους και μη αναστρέψιμη, έτσι ώστε μια παραβίαση βάσης δεδομένων να μην εκθέτει απευθείας τους κωδικούς πρόσβασης σε απλό κείμενο. Ένα salt, μια μοναδική τυχαία τιμή που προστίθεται σε κάθε κωδικό πρόσβασης πριν από τον κατακερματισμό, εμποδίζει τους επιτιθέμενους να χρησιμοποιούν προϋπολογισμένους πίνακες rainbow και διασφαλίζει ότι οι ίδιοι κωδικοί πρόσβασης παράγουν διαφορετικά hashes.

Το OWASP συνιστά αργές λειτουργίες εντατικής μνήμης όπως Argon2id, bcrypt ή scrypt, ρυθμισμένες έτσι ώστε κάθε hash να είναι ακριβό στον υπολογισμό. Τα γρήγορα hashes όπως τα MD5 και SHA-1 δεν είναι κατάλληλα για κωδικούς πρόσβασης επειδή επιτρέπουν στους επιτιθέμενους να δοκιμάζουν δισεκατομμύρια εικασίες ανά δευτερόλεπτο.

Αυτή η υπολογισμός ηλικίας εκτιμά τη δυσκολία εύρεσης, όχι την ισχύ οποιουδήποτε κατακερματισμού στην πλευρά του διακομιστή.

Όχι, δεν πρέπει ποτέ να επαναχρησιμοποιείτε κωδικούς πρόσβασης σε λογαριασμούς, επειδή μια μεμονωμένη παραβίαση θέτει σε κίνδυνο κάθε ιστότοπο που μοιράζεται αυτό το διαπιστευτήριο. Οι επιτιθέμενοι εκμεταλλεύονται αυτό το γεγονός με το credential stuffing, αναπαράγοντας ζεύγη ονόματος χρήστη και κωδικού πρόσβασης που έχουν διαρρεύσει από μία υπηρεσία σε πολλές άλλες χρησιμοποιώντας αυτοματοποιημένα εργαλεία.

Το OWASP εντοπίζει το credential stuffing ως κύρια αιτία κατάληψης λογαριασμών και οι μοναδικοί κωδικοί πρόσβασης αποτελούν την κύρια άμυνα. Ένας διαχειριστής κωδικών πρόσβασης λύνει το πρόβλημα μνήμης δημιουργώντας και αποθηκεύοντας έναν διακριτικό κωδικό πρόσβασης υψηλής εντροπίας για κάθε σύνδεση.

Ο συνδυασμός μοναδικών κωδικών πρόσβασης με έλεγχο ταυτότητας πολλαπλών παράγοντων, όπως συνιστάται από το NIST και το OWASP, μειώνει δραματικά τον αντίκτυπο οποιασδήποτε μεμονωμένης παραβίασης δεδομένων.

Τα αποτελέσματά σας συνδυάζουν τρία συμπληρω S7 σήματα:

• μια τιμή εντροπίας σε bits
• μια ποιοτική βαθμολογία ισχύος
• έναν εκτιμώμενο χρόνο σπάσης

Η εντροπία είναι η αντικειμενική βασική μέτρηση, ενώ η αξιολόγηση (από αδύναμη έως πολύ ισχυρή) και η εκτίμηση χρόνου σπάσης μεταφράζουν αυτά τα bits σε διαισθητικούς όρους με βάση έναν υποτιθέμενο ρυθμό εικασίας. Επειδή το υλικό του επιτιθέμενου ποικίλλει τεράστια, τα στοιχεία χρόνου σπάσης είναι οδηγοί τάξης μεγέθους, όχι εγγυήσεις, και ευθυγραμμίζονται με τη φιλοσοφία αντίστασης στις εικασίες που περιγράφεται στο NIST SP 800-63B.

Χρησιμοποιήστε τον αριθμό εντροπίας για να συγκρίνετε υποψήφιους κωδικούς πρόσβασης, αντιμετωπίστε οτιδήποτε κάτω από 60 bits ως επικίνδυνο για σημαντικούς λογαριασμούς και στοχεύστε σε 80 ή περισσότερα bits όπου η ασφάλεια έχει τη μεγαλύτερη σημασία.

Τα πιο κοινά λάθη κωδικών πρόσβασης είναι προβλέψιμες επιλογές που οι επιτιθέμενοι προβλέπουν ήδη:

• Αποφύγετε τις λέξεις λεξικού, τα διαδοχικά πλήκτρα όπως το qwerty ή το 123456, και προσωπικά στοιχεία όπως ονόματα, γενέθλια ή ονόματα κατοικιδίων που εμφανίζονται σε αρχεία διαρροών και στα μέσα κοινωνικής δικτύωσης.
• Οι απλές αντικαταστάσεις χαρακτήρων (@ για το a, 3 για το e) προσθέτουν αμελητέα εντροπία επειδή τα εργαλεία σπάσης εφαρμόζουν αυτούς τους κανόνες αυτόματα.
• Μην προσθέτετε απλώς έναν αριθμό ή ένα θαυμαστικό σε μια αδύναμη βασική λέξη και μην επαναχρησιμοποιείτε ποτέ έναν παλιό κωδικό πρόσβασης.

Το OWASP συνιστά τον έλεγχο νέων κωδικών πρόσβασης σε γνωστές λίστες παραβιάσεων και το NIST συμβουλεύει τον έλεγχο έναντι βάσεων δεδομένων συμβιβασμένων διαπιστευρίων πριν από την αποδοχή τους.