แนวทางปฏิบัติที่ดีที่สุดสำหรับรหัสผ่าน

เมื่อได้รับเหตุการณ์ล่าสุดด้วยการเรียนรู้ 'แฮ็กเกอร์' และลองรหัสผ่านใหม่จากผู้ดูแลเว็บไซต์เราจะแนะนำสิ่งที่ดีที่สุดให้กับทุกคนเกี่ยวกับวิธีปฏิบัติที่ดีที่สุดเกี่ยวกับรหัสผ่านได้อย่างไร

• ใช้รหัสผ่านที่ไม่ซ้ำกันระหว่างเว็บไซต์ (เช่นไม่เคยใช้รหัสผ่านซ้ำ)
• คำที่พบในพจนานุกรมจะต้องหลีกเลี่ยง
• พิจารณาใช้คำหรือวลีจากภาษาที่ไม่ใช่ภาษาอังกฤษ
• ใช้วลีรหัสผ่านและใช้อักษรตัวแรกของแต่ละคำ
• l33 การระบุไม่ได้ช่วยอะไรมาก

กรุณาแนะนำเพิ่มเติม!

• ใช้รหัสผ่านที่ไม่ประกอบด้วยคำหรือชื่อสามัญ การโจมตีด้วยพจนานุกรมใช้พจนานุกรมที่มีคำศัพท์นับล้านคำและรวดเร็วมาก

• ใช้รหัสผ่านที่ยาว ฉันมักจะใช้ผ่านวลี ฉันเลือกวลีประโยคหรือคำคล้องจองและหาวิธีใช้จำนวนอักขระที่ไม่ใช่ตัวอักษรและตัวเลขที่ไม่ยุติธรรมเพื่อให้คำของฉันไม่ใช่คำในพจนานุกรม

• อย่าใช้รหัสผ่านเดียวกันสำหรับหลาย ๆ บริการเข้าสู่ระบบ ใช้เวลาสักครู่ในการหาสูตรสำหรับการเลือกวลีรหัสผ่าน วิธีนี้ช่วยให้คุณใช้รหัสผ่านที่แตกต่างกันมากมายซึ่งหากลืมคุณอาจสามารถสร้างขึ้นใหม่ด้วยการลองผิดลองถูก

• หากคุณจำเป็นต้องใช้รหัสผ่านที่ปลอดภัยยาวดีและซ่อนไว้ที่ไหนสักแห่ง อย่างน้อยก็ดีกว่าการใช้รหัสผ่านที่อ่อนแอซึ่งง่ายต่อการจดจำ

• หากคำแนะนำข้างต้นไม่สามารถจัดการได้ให้ใช้ตัวจัดการรหัสผ่านด้วยรหัสผ่านที่ปลอดภัยและใช้รหัสผ่านแบบสุ่มสำหรับทุกสิ่ง พกตัวจัดการรหัสผ่านติดตัวไปกับคุณในแฟลชไดรฟ์ USB เข้ารหัส (สำรองข้อมูลไว้แน่นอน)

ฉันพบปัญหาหลายอย่างเกี่ยวกับข้อความรหัสผ่าน:

• ไซต์จำนวนมากมีขีด จำกัด สูงสุดของความยาวรหัสผ่านเช่น 20 ตัวอักษรมันโง่ แต่คุณสามารถทำอะไรได้บ้าง
• เว็บไซต์อื่น ๆ ไม่อนุญาตให้มีช่องว่างในรหัสผ่าน
• การพิมพ์ข้อความยาว ๆ แบบสุ่มสี่สุ่มห้านั้นเกิดข้อผิดพลาดได้ง่ายโดยเฉพาะเมื่อคุณพิมพ์ดีดไม่เก่ง
• การพิมพ์ข้อความรหัสผ่าน 50 อักขระใช้เวลานานกว่ารหัสผ่าน 15 อักขระที่ดี

โซลูชันของฉันสำหรับปัญหานี้คือการใช้วลีรหัสผ่านเป็นตัวช่วยจำรหัสผ่านจริง เช่นฉันสามารถเลือกบทกวีที่ยอดเยี่ยมสองสามบรรทัดจาก William Henry Davies (76 ตัวอักษร):

ไม่มีเวลาให้เห็นเมื่อเราผ่านป่า
ที่ไหนที่กระรอกซ่อนถั่วไว้ในหญ้า

และฉันจะเลือกตัวอักษรตัวแรกของแต่ละคำสร้างรหัสผ่าน 16-char ที่ดีงามต่อไปนี้:

Nttswwwp,Wshtnig

การใช้บทกวีนั้นดีมากเพราะจำได้ง่ายกว่าและเมื่อคุณถูกขอให้เปลี่ยนรหัสผ่านคุณสามารถเลือกบทกวีสองสามบรรทัดถัดไป

เมื่อกำหนดระบอบรหัสผ่านให้ผู้อื่นไม่เพียง แต่ต้องการให้พวกเขาใช้ที่ไม่ซ้ำกันเกินเกณฑ์มีตัวอักษรผสมอักขระพิเศษ ฯลฯ แต่ยังให้ความรู้แก่ผู้ใช้เกี่ยวกับผู้จัดการรหัสผ่านหรือโครงร่างเพื่อสร้าง / จำรหัสผ่านเหล่านั้น ถ้าคุณทำไม่ได้ผู้ใช้จะเขียนรหัสผ่านลงหรือหาวิธีอื่น ๆ ที่ไม่ปลอดภัยในการ "จำ" พวกเขา

หากคุณมีปัญหาในการจำรหัสผ่านให้ใช้ข้อความที่รู้จักดี เลือกประโยคที่ใช้ n ^THจดหมายจากแต่ละคำเป็นรหัสผ่านให้วรรคตอน (รหัสผ่านเช่นสร้างขึ้นจาก 1 ^{เซนต์}ตัวอักษรของประโยคแรกของคำตอบนี้อาจจะ "Iyhtrp, uswkt.") คุณสามารถทำให้มันแข็งแกร่งขึ้นโดยการเปลี่ยนเป็นตัวพิมพ์ใหญ่และเพิ่มตัวอักษรพิเศษ

อย่าใช้รหัสผ่านนั่นคือสิ่งที่คุณจะผิดในตอนแรก ใช้ชุดอักขระแบบสุ่ม (ขั้นต่ำ 8) หรือวลีรหัสผ่าน คุณสามารถหาสูตรสำหรับสร้างวลีรหัสผ่านที่แตกต่างกันสำหรับแต่ละไซต์ตัวอย่างเช่น ILikeStackOverflowOnions หรือ ILikeServerFaultOnions สิ่งนี้จะช่วยให้คุณปลอดภัยจากบุคคลภายนอกอย่างไรก็ตามยังอาจทำให้เกิดปัญหาได้หากไซต์จริงถูกแฮ็กและรหัสผ่านไม่ได้ถูกใส่เกลือหรือหากผู้ดูแลระบบเสียหายในตอนแรก

เปลี่ยนรหัสผ่านเป็นประจำ ฉันทำงานที่ไหนมันเป็นเวลา 30 วัน มันเป็น PITA แต่มันช่วยลดค่าของรหัสผ่านที่ถูกแฮ็กไปยังหน้าต่างเวลาที่ จำกัด ซึ่งรวมถึงนโยบายรหัสผ่านโฆษณาที่ซับซ้อนซึ่งกำหนดว่าต้องมีอย่างน้อย 8 ตัวอักษรประกอบด้วยตัวอักษรตัวบนตัวล่างตัวเลขและสัญลักษณ์

เพื่อเสริมเราใช้บริการตัวจัดการรหัสผ่านแบบบริการตนเอง มี Windows GINA แบบกำหนดเองที่ให้ฟังก์ชั่นเพื่อให้ผู้ใช้รีเซ็ตรหัสผ่านหากลืมหรือปลดล็อคหากทำผิดหลายครั้ง แอปตัวจัดการรหัสผ่านต้องการให้ผู้ใช้ลงทะเบียนในบริการระบุข้อมูลส่วนบุคคลเพียงอย่างเดียวที่พวกเขาจะรู้ว่าจะถูกใช้เป็นคำถามเมื่อผู้ใช้ต้องการรีเซ็ตรหัสผ่าน / ปลดล็อคบัญชีของพวกเขา

ฉันเชื่อว่าควรสร้างรหัสผ่านแทนที่จะคิดโดยผู้ใช้ วิธีนี้จะช่วยหลีกเลี่ยงปัญหาโง่ ๆ เหล่านั้นด้วยรหัสผ่านที่เดาได้ง่าย

ฉันชอบใช้pwgenซึ่งสร้างรายการรหัสผ่านเช่น

Bai4phei Gohh7Too cee3Iegh eegh7Aiy kaing6Mu ohBi0woo oH7bieRo Opai1Vov
sahpee6Y joo3iKe4 iegai4Ae chi1Akee se2vaDoo Xivae4ew eN4aquoh ahMaeye1
Ci3mie2e Oosh3aiy pueX1OoF uXee7chi theo4doT ied6Haeg Pey3beer viZeish2 
Itoogoa3 RaeD6woh IeJ9guLo Afuozii9 equahGh7 ui9uaJae qui4Geis Eikib2ko 
Ua7viequ iedieY9Y Deihae1u uu6aR7xa ThooG6mu HeiZ7jai choo7ohM jael0Lai 
Beelae6s wu0uTieK eiX8equu uPeeS2ub WaiceeP1 tha2Ohz1 xeiroh9E Eak6leiy 

แต่จริงๆแล้วโปรแกรมสร้าง pw ใด ๆ จะทำ ข้อดีอย่างหนึ่งของ pwgen ก็คือพยายามสร้างรหัสผ่าน (ค่อนข้าง) อย่างน่าจดจำโดยการรวมเสียงสระบางอย่าง

สิ่งที่แตกต่างจาก (แหล่ง Dailywtf.com):

1. ใช้รหัสผ่านที่คาดเดายาก
2. อย่าใช้รหัสผ่านซ้ำ
3. เมื่อพิจารณาถึง # 2 ให้ใช้เครื่องมืออย่างPwdHashในการเผชิญหน้ากับบัญชีที่แตกต่างกันอย่างล้นหลาม

อยู่ห่างจากเหล่าTop 500 รหัสผ่านที่เลวร้ายที่สุด

รหัสผ่านที่ยาวและซับซ้อนให้ความปลอดภัยที่ดีโดยทั่วไปรหัสผ่านที่แข็งแกร่งแต่ใช้รหัสผ่านที่แตกต่างกันอย่างแน่นอนสำหรับบัญชีผู้ใช้ทั้งหมด

ใช้เครื่องมือเช่นSuperGenPassเพื่อสร้างรหัสผ่านที่ไม่ซ้ำสำหรับเว็บไซต์ใด ๆ ที่คุณมีการเข้าสู่ระบบ

Hak5 เพียงได้อย่างตอนสาธิตการใช้เครื่องมือจากระยะไกล Exploitที่ใช้จำนวนของสตริงและสร้างพจนานุกรมของการรวมกันทั้งหมด, บน, ล่าง, เจ๋งสะกด ฯลฯ ดังนั้นคุณจะให้มันป้อนข้อมูลเช่นชื่อของเป้าหมายชื่อของเด็กวันเกิดหรือ ข้อมูลอื่น ๆ ที่คุณรู้เกี่ยวกับเป้าหมาย พจนานุกรมที่สร้างขึ้นสามารถใช้เป็นอินพุตเพื่อกำหนดรหัสผ่านที่อ่อนแอได้

คุณธรรม: หลีกเลี่ยงการใช้ข้อมูลส่วนบุคคลในรหัสผ่านของคุณ

หากคุณรู้จักคำหรือวลีในภาษาที่ไม่ใช่ภาษาอังกฤษคุณสามารถใช้คำเหล่านั้นเป็นส่วนหนึ่งของรหัสผ่านของคุณได้ ตัวอย่างเช่นฉันมักใช้คำภาษาญี่ปุ่นเป็นส่วนหนึ่งของรหัสผ่านของฉันซึ่งป้องกันการโจมตีจากพจนานุกรม แต่ฉันยังจำได้ (ต่างจากรหัสผ่านที่สร้างแบบสุ่ม)

ฉันเริ่มใช้รหัสผ่านที่ปลอดภัยซึ่ง แต่เดิมได้รับการออกแบบโดย Bruce Schneier เพื่อจัดเก็บรหัสผ่านทางเว็บใด ๆ ฉันมีข้อความรหัสผ่านที่แข็งแกร่งมากเกี่ยวกับรหัสผ่านที่ปลอดภัยและรหัสผ่านอื่น ๆ ทั้งหมดนั้นสร้างขึ้นโดยอัตโนมัติและไม่เคยใช้งานเว็บไซต์ที่เคยใช้ซ้ำมาก่อน

ซอฟต์แวร์ยังมีคุณสมบัติเช่นรหัสผ่านที่หมดอายุและไม่ชอบ

ฉันคิดว่านี่ (ให้รหัสผ่านที่ปลอดภัยที่แข็งแกร่ง ) เพื่อการแลกเปลี่ยนที่ดีที่สุดและวิธีการที่ปลอดภัยที่สุดสำหรับรหัสผ่านเว็บไซต์

สำหรับครอบครัวและเพื่อน ๆ ฉันมักจะบอกว่ามันเจ๋งที่จะใช้สิ่งต่าง ๆ เช่นชื่อสัตว์เลี้ยงและชื่อนามสกุลของหญิงสาวตราบใดที่สิ่งสองสิ่งต่อไปนี้เกิดขึ้น:

• ต่อกันอย่างน้อยสองชื่อ (เช่น: นามสกุลเดิมของแม่ + ชื่อสัตว์เลี้ยง)
• รวมตัวพิมพ์ใหญ่และอักขระพิเศษ

เมื่อทำการกำหนดรหัสผ่านที่หมดอายุให้เลือกปัจจัย 7 แทนที่จะเป็นช่วงเวลาหนึ่งวัน (เช่น 30 หรือ 60 วัน)

ผลลัพธ์ของการหมดอายุ 30 วันอาจเป็นไปได้ว่าผู้ใช้จะต้องเปลี่ยนรหัสผ่านของพวกเขาในวันหยุดหรือวันหยุดสุดสัปดาห์และอาจแปลกใจเมื่อพวกเขาเข้ามาทำงานในวันถัดไป

หากคุณต้องกำหนดระดับการหมดอายุเป็นปัจจัยที่ 7 นี่จะทำให้แน่ใจได้ว่าวันที่เปลี่ยนรหัสผ่านจะอยู่ในวันเดียวกันของสัปดาห์กับการเปลี่ยนแปลงก่อนหน้านี้

หากคุณมีหลายไซต์สำหรับฐานผู้ใช้เดียวกันฉันจะต้องแนะนำรูปแบบการลงชื่อเพียงครั้งเดียวบางอย่าง (เช่น Shibboleth) เมื่อผู้ใช้มีรหัสผ่านที่แตกต่างกันสำหรับไซต์ทวีคูณพวกเขามักจะมีปัญหาในการจดจำพวกเขาทั้งหมด รหัสผ่านหนึ่งหรือสองรหัสผ่านสามารถจดจำได้ง่ายโดยคนส่วนใหญ่ผู้ใช้สามคนอาจจดรหัสเหล่านี้ไว้ในที่ลับ หากมีผู้ใช้มากกว่าสี่คนผู้ใช้อาจเขียนบทความทั้งหมดลงในโพสต์โน้ตและนำไปใช้กับโต๊ะทำงานหรือจอภาพ

รหัสผ่านไม่จำเป็นต้องซับซ้อนเกินไปแม้ว่าจะต้องมีความซับซ้อนเพียงพอที่จะป้องกันความพยายามครั้งแรกหรือครั้งที่สอง ตราบใดที่ระบบ / ไซต์ของคุณมีมาตรการรักษาความปลอดภัยบางประเภทซึ่ง จำกัด จำนวนครั้งในการเข้าสู่ระบบดังนั้นรหัสผ่านไม่จำเป็นต้องซับซ้อนเกินไป

ตัวอย่างเช่นหากระบบของคุณมีการพยายามเข้าสู่ระบบ 3 ครั้งต่อชั่วโมงรหัสผ่านพื้นฐานเช่น "Cindy65" จะซับซ้อนกว่านั้นมากพอ ในขณะที่แฮ็กเกอร์อาจรู้ว่าชื่อจริงของผู้ใช้คือ Cindy เขาจะไม่มีทางรู้ว่าเธอเกิดในปี 1965 ความพยายามของเขาจะเป็น "cindy", " l astname", "Cindy", L astname "แม้ว่าจะเป็นเช่นนี้ เวลาที่เขาถูกบล็อก

ขณะนี้อาจเป็นกรณีที่ง่ายและรหัสผ่านที่ง่ายมันเป็นสิ่งที่จำเป็นจริงๆถ้าคุณผู้ดูแลระบบได้ตั้งค่าทุกอย่างด้านเซิร์ฟเวอร์ที่ถูกต้อง นอกจากนี้เรายังสามารถขอรหัสผ่านที่ซับซ้อนกว่านี้เล็กน้อยซึ่งง่ายต่อการจดจำเช่นการรวมคีย์แบบสุ่ม สัญลักษณ์และอักษรตัวใหญ่ยังช่วยอย่างมาก

เราต้องจำไว้ว่ายิ่งทำให้ผู้ใช้ยากขึ้นเท่าไหร่โอกาสที่จะเขียนลงในที่สาธารณะก็จะยิ่งมากขึ้นเท่านั้น

สิ่งหนึ่งที่ฉันอยากให้ผู้ใช้ของฉันทำเสมอคือเขียนชื่อของพวกเขาต่อกันด้วยชื่อของยาที่พวกเขาใช้อยู่อาหารที่ชื่นชอบชื่อเพื่อนที่ดีที่สุด ฯลฯ การรวมกันของคำในพจนานุกรมในขณะที่ง่าย ๆ แทบจะเป็นไปไม่ได้

ตัวอย่าง: CindyProzac, WilliamCodene, JoePetertherabbit

โชคดี.

อย่าเขียนมันลงไป และถ้าคุณทำไว้ให้เก็บไว้ในที่ปลอดภัย และอย่าเขียนคอมโบนั้นลงไป

หากข้อกำหนดด้านความปลอดภัยแน่นจริง ๆ ฉันจะพยายามหลีกเลี่ยงการใช้รหัสผ่านทุกครั้งที่ทำได้ คิดว่าใช้การรับรองความถูกต้องโดยใช้คีย์ ssh ใบรับรองไคลเอ็นต์บนสมาร์ทการ์ด ฯลฯ ต้องใช้ทักษะและงบประมาณจำนวนมากเพื่อให้สามารถทำงานได้อย่างเหมาะสมแม้ว่าจะต้องมีการประเมินความเสี่ยงที่เหมาะสม

หากคุณตัดสินใจที่จะใช้รหัสผ่านฉันจะทำตามคำแนะนำของ capar และ lexu

ข้อ จำกัด ด้านความยาวของรหัสผ่านนั้นโง่ (การ จำกัด รหัสผ่านให้อยู่ระหว่าง 6-8 ตัวอักษรเป็นเรื่องปกติ แต่ไม่สมเหตุสมผลกับระบบที่ทันสมัย)

การขอให้เปลี่ยนรหัสผ่านบ่อยๆจะเป็นการกระตุ้นให้ผู้ใช้จดรหัสผ่านและเลือกรหัสผ่านที่ง่ายขึ้น นี่เป็นการแลกเปลี่ยนการคุกคามและคุณต้องพิจารณาว่าการคุกคามใดที่เกี่ยวข้องมากกว่า

การขอให้ผู้ใช้มี "อักขระพิเศษ" ในรหัสผ่าน 8 ตัวอักษรแทนการอนุญาตให้ใช้รหัสผ่าน 30 ตัวอักษรที่ประกอบด้วยตัวอักษรเท่านั้นไม่สมเหตุสมผล

อย่าให้รหัสผ่านที่ชัดเจนแก่ผู้ใช้และขอให้พวกเขาเปลี่ยนรหัสผ่าน พวกเขาจะไม่ ทั้งสองต้องการให้พวกเขาเปลี่ยนมันในการเข้าสู่ระบบครั้งแรกเลือกรหัสผ่านที่รัดกุมสำหรับพวกเขารู้ว่าพวกเขาจะเขียนมันลงหรือทำให้พวกเขาเลือกที่แข็งแกร่งในหน้าของคุณ

เราฝึกผู้ใช้ของเราให้เลือกข้อความรหัสผ่านและใช้ตัวอักษรตัวแรกของแต่ละคำ
WTOUTPPAUTFLOEW - เพิ่มศูนย์หรือ 3 (leetifying), แตกต่างกันไปแคปล็อคสองสามครั้งและคุณมีสิ่งที่พจนานุกรมไม่เคยจะเลือก แต่ยังจำได้ง่าย

อย่างไรก็ตาม - ตรวจสอบให้แน่ใจว่าคุณไม่เปลี่ยนรหัสผ่านเป็นข้อความรหัสผ่านตามสโลแกนของ บริษัท / คำสั่งการมองเห็น ฯลฯ

เพื่อช่วยป้องกันสิ่งที่เกิดขึ้นกับผู้ดูแลเว็บไซต์นั้นและสมมติว่าคุณสามารถเข้าถึง Unix shell หรือ Cygwin คุณสามารถใช้

$ echo -n *password* | md5sum -

d1b13e9abbe4edb1b07317241969376e -

และตรวจสอบค่าที่กับฐานข้อมูล MD5 เช่นhttp://gdataonline.com/ ตรวจสอบให้แน่ใจว่าไม่ได้ปรากฏอยู่ที่นั่น

นอกจากนี้นี่เป็นตัวอย่างของพจนานุกรม MD5 ดิบที่ฉันได้รับเพียงแค่ googling สำหรับค่าแฮช (คำเตือน: ไฟล์ขนาดใหญ่): https://secure.sensepost.com/sp-hash/jebwy