כמה ארוכה צריכה להיות סיסמה? החישוב במילים פשוטות

כללי סיסמאות אוהבים סימנים: אות גדולה אחת, ספרה אחת, תו מיוחד אחד. לתוקפים אכפת הרבה יותר ממשהו אחר: כמה סיסמאות אפשריות הם יצטרכו לנסות.

כל תו מכפיל את העבודה

עם אותיות קטנות וגדולות, ספרות וסימנים, המחולל של 4Dev בוחר מתוך 88 תווים אפשריים. כל תו נוסף מכפיל את מספר הצירופים פי 88. הוספת אורך מגדילה את החיפוש באופן מעריכי; הוספת סימן אחד לסיסמה קצרה כמעט לא עוזרת.

8 תווים    88^8  ≈ 3.6 × 10^15  ≈ 52 ביט
12 תווים   88^12 ≈ 2.2 × 10^23  ≈ 78 ביט
16 תווים   88^16 ≈ 1.3 × 10^31  ≈ 103 ביט

מה זה אומר בפועל

כשמאגר של גיבובי סיסמאות דולף, התוקפים בודקים ניחושים במחשב שלהם עם כרטיסים גרפיים, מיליארדים בשנייה מול גיבובים מהירים. סיסמה אקראית של 8 תווים יכולה ליפול תוך שעות או ימים. ב-12 תווים זה ייקח עשרות אלפי שנים, ו-16 תווים מחוץ להישג של כל מתקפה מציאותית.

המילה החשובה היא אקראית

המספרים האלה נכונים רק לסיסמאות אקראיות באמת. ⁦Summer2024!⁩ היא בת 10 תווים אבל נמצאת בין הניחושים הראשונים של תוקפים, כי היא בנויה לפי דפוס אנושי. מילים, שמות, תאריכים ורצפים במקלדת נבדקים הרבה לפני מחרוזות אקראיות.

עצות מעשיות

השתמשו לפחות ב-12 תווים, וב-16 ומעלה לאימייל, לבנק ולכל חשבון שיכול לאפס חשבונות אחרים. סיסמה אחרת לכל אתר, שמורה במנהל סיסמאות, ואימות דו-שלבי בכל מקום שאפשר. אם אתר לא מקבל סימנים, הוסיפו במקומם עוד כמה תווים.

משפטי סיסמה: ארוכים וקלים לזכירה

לסיסמאות המעטות שצריך להקליד או לזכור, כמו סיסמת האב של מנהל הסיסמאות, משפט סיסמה של מילים אקראיות עובד מצוין. עם רשימת Diceware של 7,776 מילים, כל מילה שנבחרת באקראי מוסיפה כ-12.9 ביט.

5 מילים אקראיות  7776^5 ≈ 2.8 × 10^19  ≈ 64 ביט
6 מילים אקראיות  7776^6 ≈ 2.2 × 10^23  ≈ 77 ביט

שש מילים אקראיות חזקות בערך כמו סיסמה אקראית של 12 תווים, והרבה יותר קל להקליד אותן. המילים חייבות להיבחר באקראי, בקוביות או במחולל: ציטוט, שורה משיר או משפט שהמצאתם חלשים בהרבה ממה שהם נראים.

כללים שלא עוזרים

ההנחיות של NIST (SP 800-63B) ממליצות שלא לחייב משתמשים להחליף סיסמה לפי לוח זמנים ושלא להציב כללי הרכב כמו "ספרה אחת וסימן אחד". שני הכללים דוחפים אנשים לדפוסים צפויים כמו Password1! ו-Password2!. כללים טובים יותר: לאפשר סיסמאות ארוכות, לאפשר הדבקה כדי שמנהלי סיסמאות יעבדו, ולבדוק סיסמאות חדשות מול רשימות של סיסמאות שנחשפו בדליפות ידועות.

כשאתר שאתם משתמשים בו נפרץ

החליפו את הסיסמה הזאת מיד, וגם בכל מקום אחר שבו השתמשתם בה. תוקפים מנסים זוגות של מייל וסיסמה שדלפו באתרים אחרים בתוך שעות, בשיטה שנקראת credential stuffing. סיסמה ייחודית לכל אתר הופכת דליפה אחת לבעיה אחת ולא לבעיות רבות.

יוצרים סיסמה בבטחה

מחולל הסיסמאות של 4Dev יוצר סיסמאות בדפדפן עם crypto.getRandomValues, מחולל המספרים האקראיים המאובטח של הדפדפן. בוחרים אורך של 4 עד 128 תווים ואילו קבוצות תווים לכלול; שום דבר לא נשלח לשרת ולא נשמר.

למחולל הסיסמאות