تولیدکننده عبارت عبور
- 7 واژه
تولیدکنندهٔ رایگان عبارت عبور تصادفی
از واژههای تصادفی یک رمز عبور بهیادماندنی بسازید: به خاطر سپردن و تایپ کردنش آسان است و حدس زدنش سخت. این ابزار ایدهٔ xkcd و روش Diceware را بهدرستی اجرا میکند، با مولد امن اعداد تصادفی و محاسبهای واقعبینانه از قدرت عبارت عبور. حالت پیشفرض، یعنی هفت واژهٔ تصادفی، تقریباً برای هر کاربردی که در آن عبارت عبور را دستی تایپ میکنید، بهاندازهٔ کافی قوی است.
از 3 تا 12 واژه انتخاب کنید و جداکنندهٔ بین آنها، حروف بزرگ، یک عدد، یک نماد و حداکثر طول را مشخص کنید. واژهها به زبان انگلیسی و نُه زبان دیگر در دسترساند. از یک واژه خوشتان نمیآید؟ روی آن بزنید تا فقط همان واژه عوض شود. عبارت عبور روی دستگاه شما ساخته میشود و هرگز به جایی ارسال نمیشود.
بروید به: برای چه کاری مناسب است؟ · چند واژه؟ · سه واژهٔ تصادفی · چطور آن را به خاطر بسپاریم؟ · پرسشها
عبارت عبور را برای چه کاری میخواهید؟
عبارت عبور برای رمزی است که خودتان تایپ میکنید. کاربرد موردنظرتان را انتخاب کنید تا تولیدکننده با تنظیمات مناسب باز شود.
- رمز عبور اصلیتنها رمز عبوری که نباید هرگز فراموش کنید: قفل برنامهٔ مدیریت رمز عبورتان را باز میکند. حروف بزرگ و یک عدد، الزامات برنامههایی را که این موارد را اجباری میکنند برآورده میکنند.8 واژه · حروف بزرگ · یک عدد
- رمزگذاری دیسکBitLocker، FileVault، VeraCrypt یا LUKS. از تمام اطلاعات روی دیسک محافظت میکند، پس بیشترین تعداد واژه را دارد.8 واژه
- کلید SSH یا GPGهر بار که از کلید خصوصیتان استفاده میکنید، قفل آن را باز میکند.7 واژه
- بلند خواندن یا تایپ در تلویزیونواژههای ساده با فاصلهٔ بین آنها را بهراحتی میتوان پشت تلفن خواند یا با کنترل از راه دور تایپ کرد.7 واژه · فاصلهٔ بین واژهها
- سایتی با قوانین سختگیرانه برای رمز عبورحروف بزرگ، ارقام تصادفی بین واژهها و یک نماد، الزامات «حروف بزرگ، حروف کوچک، عدد و نماد» را برآورده میکنند.6 واژه · حروف بزرگ · ارقام بین واژهها · یک نماد
- سه واژهٔ تصادفیتوصیهٔ دولت بریتانیا برای حسابهای آنلاین. وقتی سایت تعداد تلاشهای ناموفق را محدود میکند و از ورود دومرحلهای استفاده میکنید، مناسب است. همانطور که در ادامه توضیح داده شده، برای هر کاربرد دیگری بیش از حد ضعیف است.3 واژه · حروف بزرگ · یک عدد · در صورت سرقت فایل رمزهای عبور، ضعیف است
- حسابهای جدید برای یک تیمده عبارت عبور متفاوت، هرکدام در یک خط با دکمهٔ کپی جداگانه. برای یک کلاس یا شرکت کامل، از تولیدکننده گروهی استفاده کنید.10 عبارت عبور، هرکدام 7 واژه
- حساب وبسایت یا برنامهاگر هیچوقت آن را تایپ نمیکنید، یک رشتهٔ تصادفی با همان میزان امنیت، کوتاهتر است.تولیدکننده رمز عبور
به چند واژه نیاز دارید؟
هر واژهای که اضافه میکنید، حدس زدن عبارت عبور را حدود 7400 برابر سختتر میکند، چون مهاجم باید برای هر واژه، تمام واژههای فهرست را امتحان کند. هفت واژهٔ تصادفی، که حالت پیشفرض ماست، تقریباً برای هر کاربردی که در آن عبارت عبور را دستی تایپ میکنید مناسب است: ورود به رایانه، وایفای یا کلید SSH. برای برنامه مدیریت رمز عبور یا دیسک رمزگذاریشده از هشت واژه استفاده کنید. سه یا چهار واژه فقط برای حسابهایی مناسب است که تلاشهای اشتباه را مسدود میکنند؛ در ادامه بیشتر توضیح میدهیم.
زمانی که زیر تولیدکننده نمایش داده میشود، مربوط به بدترین حالت است: مهاجم فهرست واژههای شما را میشناسد و نسخهای در اختیار دارد تا حدسهایش را بدون محدودیت در تعداد تلاشها، روی رایانههای خودش آزمایش کند؛ مثلاً فهرست رمزهای عبور سرقتشده از یک وبسایت یا کپیِ یک فایل رمزگذاریشده. برای عبارت عبوری که در تولیدکننده نمایش داده میشود، زمان لازم به این بستگی دارد که چه کسی آن را حدس میزند:
عبارت عبور شما7 واژهانگلیسیAbc123!@#
- یک کارت گرافیک
- 98 میلیون سال
- بسیار قوی
- مثل کارت گرافیک یک رایانهٔ قدرتمند مخصوص بازی
- 1000 کارت گرافیک رتبهٔ شما
- 98,000 سال
- قوی
- اجاره بهصورت ساعتی، مثلاً توسط یک گروه مجرم
- 100,000 کارت گرافیک
- 980 سال
- قوی
- در مقیاس یک دولت یا شرکت بزرگ فناوری. هیچکس این آمار را منتشر نمیکند.
حمله به وبسایت یا دستگاهی که بهدرستی محافظت میشود بسیار کندتر است: تلاشهای اشتباه پیدرپی را مسدود میکند و رمزهای عبور را به شکلی ذخیره میکند که حدس زدنشان زمانبر است. البته شما نمیتوانید ببینید یک وبسایت رمز عبورتان را چطور ذخیره میکند، پس روی این موضوع حساب نکنید.
استفاده از حروف بزرگ تقریباً هیچ کمکی نمیکند، چون مهاجم هم میتواند حرف اول همهٔ واژهها را بزرگ کند. یک عدد یا نماد کمی به امنیت اضافه میکند. یک واژهٔ دیگر بیشترین تأثیر را دارد. اگر سایتی محدودیت طول دارد، هر طولی را باز کنید و آن محدودیت را انتخاب کنید: تولیدکننده از آن پس فقط عبارتهای عبوری میسازد که در محدودهٔ تعیینشده جا میگیرند و قدرت نمایشدادهشده هم متناسب با آن کاهش مییابد.
آیا یک رمز عبور 3 کلمهای کافی است؟
مرکز ملی امنیت سایبری بریتانیا (NCSC) به مردم توصیه میکند از «سه کلمه تصادفی» استفاده کنند و حالا افراد زیادی به دنبال تولیدکننده رمز عبور 3 کلمهای هستند. این توصیه برای کاربردی که در نظر گرفته شده، درست است: حساب آنلاینی که جلوی تلاشهای مکرر برای حدس زدن رمز عبور را میگیرد و ترجیحاً ورود دومرحلهای هم دارد. حدس زدن سه کلمه تصادفی از طریق صفحه ورود، با سرعت 10 تلاش در ثانیه، حدود 650 سال طول میکشد.
مشکل زمانی پیش میآید که دادهها درز کنند. اگر رمزهای عبور هششدهٔ سایت به سرقت بروند، همان سه واژه در کمتر از یک ثانیه شکسته میشوند و اضافه کردن حروف بزرگ، یک عدد و یک نماد هم کمک چندانی نمیکند. بنابراین، از سه واژه فقط در مواردی استفاده کنید که مد نظر NCSC است. برای برنامه مدیریت رمز عبور، ورود به رایانه، وایفای یا دیسک رمزگذاریشده، هفت واژه یا بیشتر به کار ببرید. نمونه سه واژه تصادفی در بالا، تولیدکننده را با تنظیماتی مطابق توصیه NCSC باز میکند و سطر نمایش قدرت رمز عبور، صادقانه نشان میدهد که این رمز چقدر ضعیف است.
تولیدکننده رمز عبور به سبک xkcd، این بار به روش درست
کمیک معروف xkcd میگفت به خاطر سپردن چهار واژهٔ رایج و تصادفی از «Tr0ub4dor&3» آسانتر است و شکستن چنین رمزی هم سختتر. اصل ایده درست بود، اما عددهایش فقط برای نشان دادن این ایده بودند: چهار واژه از فهرستی با 2048 واژه، 44 بیت امنیت ایجاد میکند که یک کارت گرافیک بهتنهایی در کمتر از یک دقیقه از پس شکستن آن برمیآید.
این تولیدکننده همان ایده را نگه میدارد، اما عددها را اصلاح میکند: فهرستهایی با حدود 7400 واژه بهجای 2048 واژه، هفت واژه بهصورت پیشفرض بهجای چهار واژه، بدون تکرار واژهها، و استفاده از تولیدکنندهٔ امن اعداد تصادفی بهجای انتخاب واژهها به دست انسان. هفت واژه حدود 90 بیت امنیت ایجاد میکند؛ یعنی شکستن آن حتی با 1000 کارت گرافیک حدود 100,000 سال طول میکشد.
مهمترین بخش، «تصادفی» بودن است. کسانی که خودشان واژهها را انتخاب میکنند، سراغ متن ترانهها، نقلقولها، نامها و مکانها میروند و ابزارهای شکستن رمز هم اول همینها را امتحان میکنند. حتی عبارت «correct horse battery staple» از همان کمیک هم تا امروز هزاران بار در دادههای افشاشده دیده شده است. واژههایی که تصادفی انتخاب میشوند، الگوی قابل کشفی ندارند؛ بنابراین این عددها حتی وقتی مهاجم بداند از PassGen.co استفاده کردهاید هم معتبرند. همین حالا از عبارت عبوری استفاده میکنید که خودتان ساختهاید؟ آن را در بررسی قدرت رمز عبور آزمایش کنید.
چگونه عبارت عبور را به خاطر بسپاریم
- تصویری در ذهن بسازید. واژهها را به همان ترتیب، در قالب یک صحنه کوتاه و خندهدار تصور کنید. گراز دریایی با یک فانوس در یک دره، خیلی بهتر از هفت واژه جدا از هم در ذهن میماند.
- اوایل آن را زیاد تایپ کنید. در هفته اول، روزی چند بار از آن استفاده کنید. بعد از آن، انگشتانتان به تایپ کردنش عادت میکنند.
- هنگام یادگیری، آن را روی کاغذ بنویسید. کاغذ را در خانه نگه دارید، هرگز آن را کنار دستگاهی نگذارید که با این عبارت عبور باز میشود، و وقتی عبارت عبور را کاملاً از حفظ شدید، کاغذ را از بین ببرید.
- جداکنندهها را نگه دارید. خط تیره یا فاصله نشان میدهد کجا اشتباه کردهاید و زحمتی هم ندارد.
عبارتهای عبور به زبان خودتان
واژههایی که میشناسید راحتتر به خاطر میمانند و تایپ میشوند. با دکمهٔ کرهٔ زمین، فهرست واژهها را انتخاب کنید: انگلیسی، آلمانی، اسپانیایی، فرانسوی، ایتالیایی، پرتغالی، کاتالان، هلندی، اوکراینی یا روسی. هر فهرست اصلی حدود 5900 تا 7700 واژه دارد، بنابراین عبارت عبور به هر یک از این زبانها تقریباً بهاندازهٔ عبارت عبور انگلیسی قوی است و قدرت نمایشدادهشده زیر تولیدکننده، بر اساس تعداد دقیق واژههای فهرستی محاسبه میشود که انتخاب میکنید.
فهرستهای اوکراینی و روسی با حروف لاتین هم در دسترس هستند، چون صفحهٔ راهاندازی لپتاپ رمزگذاریشده، تلویزیون یا صفحهٔ مدیریت روتر اغلب فقط از صفحهکلید با چیدمان آمریکایی پشتیبانی میکند و اگر نتوانید عبارت عبورتان را آنجا تایپ کنید، دسترسیتان قطع میشود. به همین دلیل، پیش از تکیه بر عبارت عبور برای رمزگذاری دیسک، آن را در صفحهٔ راهاندازی امتحان کنید یا از فهرستی با حروف بدون علامتهای آوایی استفاده کنید.
انگلیسی (واژههای کوتاه) از واژههای سه تا پنج حرفی استفاده میکند که با گوشی یا کنترل تلویزیون سریعتر تایپ میشوند. چون واژههای کمتری برای انتخاب وجود دارد، هر واژه سهم کمتری در قدرت عبارت عبور دارد؛ بنابراین برای رسیدن به قدرت هفت واژه از فهرست اصلی، از نه واژهٔ کوتاه استفاده کنید.
نحوهٔ کار: جزئیات فنی
برای کسانی که میخواهند جزئیات را بررسی کنند.
انتخاب تصادفی امن
هر واژه با استفاده از crypto.getRandomValues() و روش نمونهگیری با رد انتخاب میشود تا احتمال انتخاب همهٔ واژهها دقیقاً برابر باشد. اگر واژهای از قبل در عبارت عبور باشد، انتخاب دوباره انجام میشود تا هیچ واژهای دو بار تکرار نشود.
برآورد قدرت
تعداد دقیق عبارتهای عبور متفاوتی که با تنظیمات فعلی میتوان ساخت. وقتی حداکثر طول تعیین نشده باشد، برای فهرستی با N واژه، این تعداد برابر است با N × (N − 1) × … که ضرب به تعداد واژههای عبارت عبور ادامه پیدا میکند. ارقام تصادفی بین واژهها این تعداد را بهازای هر فاصلهٔ بین دو واژه در 10 ضرب میکند؛ «افزودن یک عدد» آن را در 10 × تعداد واژهها ضرب میکند (انتخاب رقم و واژه)، و «افزودن یک نماد» در 8 × تعداد واژهها (انتخاب یکی از نمادهای ! @ # $ % ^ & * و واژه). حروف بزرگ چیزی به این تعداد اضافه نمیکنند؛ جداکنندهٔ سفارشی هم همینطور، چون آن را خودتان انتخاب کردهاید. تعداد بیتها = log2 این تعداد. زمان لازم برای شکستن عبارت عبور = 2تعداد بیتها − 1 ÷ (2 × 1014) ثانیه، برای 1000 کارت گرافیک.
حداکثر طول
تولیدکننده با بررسی طول واژههای فهرست، تعداد دقیق عبارتهای عبوری را که در محدودهٔ طول تعیینشده جا میگیرند محاسبه میکند و یکی از آنها را بهصورت تصادفی انتخاب میکند؛ احتمال انتخاب همهٔ آنها برابر است. قدرت برابر است با تعداد عبارتهایی که جا میگیرند.
واژههای تعویضشده
بهازای هر واژهای که k بار تعویض شده باشد، قدرت عبارت عبور بهاندازهٔ log2(k + 1) بیت کاهش مییابد؛ این بیشترین مقدار اطلاعاتی است که انتخاب یکی از k + 1 واژه میتواند فاش کند.
فهرستهایی با اندازهٔ متناسب با تاس
بیشتر فهرستها در ابتدا 7776 واژه دارند؛ یعنی 6 × 6 × 6 × 6 × 6، تعداد حالتهای ممکن برای نتیجهٔ انداختن پنج تاس. روش Diceware همین است: پنج تاس میاندازید و واژهٔ متناظر را در فهرست پیدا میکنید. فهرستهای اسپانیایی، ایتالیایی و کاتالان 8192 واژه دارند و فهرست انگلیسیِ واژههای کوتاه 1296 واژه، متناسب با چهار تاس. بهدلیل پالایش فهرستها که در ادامه توضیح داده شده، تولیدکننده بهجای اعداد تاس از مولد اعداد تصادفی مرورگر شما استفاده میکند.
پالایش
واژههایی که نویسهٔ جداکننده دارند، مانند «yo-yo»، حذف میشوند تا مرز بین واژهها مبهم نشود. نام افراد و مکانها، حتی وقتی در فهرست با حروف کوچک نوشته شده باشند، نیز حذف میشوند. همینطور واژههایی که ممکن است در عبارت عبوری که با صدای بلند میگویید ناخوشایند یا نامناسب باشند، مانند نام بیماریها، مواد مخدر، سلاحها و واژههای توهینآمیز. تعداد واژههای قابل استفاده: انگلیسی 7424، انگلیسی (واژههای کوتاه) 1234، آلمانی 6947، اسپانیایی 5962، فرانسوی 7347، ایتالیایی 7667، پرتغالی 7429، کاتالان 7186، هلندی 7337، اوکراینی 7430، اوکراینی (با خط لاتین) 7480، روسی و روسی (با خط لاتین) هرکدام 7608. قدرت عبارت عبور با همین تعدادها محاسبه میشود تا دقیق بماند.
فهرست واژهها
فهرست انگلیسی از فهرست بلند واژههای EFF (CC BY 4.0) و فهرست انگلیسی (واژههای کوتاه) از فهرست کوتاه واژههای EFF شمارهٔ 1 (CC BY 3.0 US) گرفته شده است. فهرستهای آلمانی، اسپانیایی، ایتالیایی و کاتالان از فهرستهای diceware متعلق به ulif (CC BY)، فرانسوی از پروژهٔ Tails (CC0)، هلندی از mko.re (CC BY) و اوکراینی از git-leaf (MIT) گرفته شدهاند. فهرست روسی برای PassGen.co با استفاده از دادههای OpenRussian.org (CC BY-SA 4.0) ساخته شده و فهرست پرتغالی از دادههای بسامد واژههای OpenSubtitles (hermitdave/FrequencyWords) و ویکیپدیای پرتغالی (CC BY-SA 4.0) تهیه شده است.
پرسشهای متداول
یک نمونه عبارت عبور خوب چیست؟
چیزی مثل مخمل-بندر-طرح-فانوس-کاکتوس-گراز دریایی-دره: هفت واژه که هیچ ارتباطی با هم یا با شما ندارند. هرگز از نمونهای که جایی منتشر شده، از جمله همین نمونه، استفاده نکنید. عبارت عبور خودتان را در بالای صفحه بسازید.
آیا عبارت عبور چهارواژهای امن است؟
فقط در جایی که تعداد حدسهای اشتباه محدود باشد، مثل تلفنی که پس از چند تلاش قفل میشود. اگر نسخه هششده عبارت عبور به سرقت برود، عبارت چهارواژهای ظرف چند ثانیه شکسته میشود. برای حسابها از هفت واژه و برای هر چیزی که از رمزهای عبور دیگر محافظت میکند، از هشت واژه استفاده کنید.
تفاوت عبارت عبور با رمز عبور چیست؟
رمز عبور معمولاً رشتهای کوتاه از نویسههای گوناگون است؛ عبارت عبور رشتهای بلندتر از واژههاست. منظور بیشتر افراد از رمز عبور بهیادماندنی، همان عبارت عبور است. برای قدرت یکسان، عبارت عبور طولانیتر است، اما تایپ کردن و به خاطر سپردن آن بسیار آسانتر است. برای مواردی که خودتان تایپ میکنید از عبارت عبور و از رمز عبور تصادفی برای مواردی که مدیر رمز عبورتان پر میکند استفاده کنید.
آیا این ابزار یک تولیدکننده Diceware است؟
این ابزار از همان روش استفاده میکند: واژهها بهصورت تصادفی از فهرستی انتخاب میشوند که تعداد واژههای آن با حالتهای ممکن پرتاب تاس مطابقت دارد. بیشتر این فهرستها 7776 واژه دارند؛ یعنی تعداد حالتهای ممکن پرتاب پنج تاس. این ابزار بهجای انداختن تاس، از تولیدکننده امن اعداد تصادفی مرورگرتان استفاده میکند که به همان اندازه تصادفی و بسیار سریعتر است. میزان امنیت نمایشدادهشده بر اساس تعداد دقیق واژههای فهرست مورد استفاده محاسبه میشود.
چرا برای شکستن یک عبارت عبور طولانی، زمان کوتاهی نمایش داده میشود؟
امنیت به تعداد عبارتهای عبور بستگی دارد که با تنظیمات شما میتوان ساخت، نه به تعداد حروف آنها. مهاجم واژههای کامل را از فهرست حدس میزند، پس واژههای بلند مزیتی نسبت به واژههای کوتاه ندارند و بزرگ کردن حرف اول همه واژهها هم امنیت را بیشتر نمیکند. افزودن یک واژه دیگر، زمان لازم را حدود 7400 برابر میکند.
آیا میتوانم فقط یک واژه را عوض کنم؟
بله. روی واژه بزنید یا کلیک کنید، یا با کلیدهای جهتنما به آن بروید و Enter را فشار دهید. فقط همان واژه عوض میشود. با هر بار تعویض، مقدار نمایشدادهشده در سطر امنیت کمی کاهش مییابد، چون واژهای که خودتان انتخاب کردهاید کمی کمتر از واژهای که در انتخابش دخالتی نداشتهاید تصادفی است.
آیا میتوانم همزمان چند عبارت عبور بسازم؟
بله. بخش چند عبارت عبور را زیر نتیجه باز کنید و تعداد را تا 16 انتخاب کنید؛ هر عبارت دکمه کپی خودش را دارد. برای یک کلاس یا شرکت کامل، تولیدکننده گروهی رمز عبور تا 1000 رمز میسازد و از آنها برای Microsoft 365، Google Workspace یا Active Directory خروجی میگیرد.
آیا میتوانم در عبارت عبور از فاصله استفاده کنم؟
معمولاً بله. بیشتر وبسایتها، سیستمعاملها و ابزارهای رمزگذاری فاصله را میپذیرند. بعضی سیستمهای قدیمیتر آن را حذف یا رد میکنند، پس اگر مطمئن نیستید، از خط تیره استفاده کنید. اگر سایتی خط تیره را هم نمیپذیرد، گزینه سفارشی را انتخاب کنید و نویسهای را تایپ کنید که آن سایت میپذیرد. میزان امنیت در هر دو حالت یکسان است.
چطور به کلید SSH یا GPG عبارت عبور اضافه کنم؟
برای کلید SSH موجود، دستور ssh-keygen -p -f ~/.ssh/id_ed25519 را اجرا کنید و وقتی از شما خواسته شد، عبارت عبور را جایگذاری کنید. برای GPG، دستور gpg --passwd را همراه با شناسه کلیدتان پس از آن اجرا کنید. هنگام ساخت کلیدهای جدید، از شما عبارت عبور خواسته میشود.
آیا میتوانم از این ابزار برای ساخت عبارت بازیابی کیف پول رمزارز استفاده کنم؟
خیر. عبارت بازیابی 12 یا 24 واژهای باید توسط کیف پولتان ساخته شود؛ کیف پول از فهرست واژههای مخصوص خودش و یک مقدار کنترلی داخلی برای بررسی صحت استفاده میکند، بنابراین واژههای این ابزار برای آن معتبر نیستند. عبارت عبور اختیاری BIP39 که بعضی کیف پولها ارائه میکنند متفاوت است: آن را خودتان انتخاب میکنید، پس عبارت عبور ساختهشده با این ابزار برای آن مناسب است. در نگهداری آن بهاندازه عبارت بازیابی دقت کنید، چون بدون آن نمیتوان کیف پول را بازیابی کرد.
آیا ساخت عبارت عبور بهصورت آنلاین امن است؟
در این سایت، بله. عبارت عبور با کدی ساخته میشود که در مرورگر شما اجرا میشود و هرگز برای ما ارسال نمیشود. پس از بارگذاری صفحه، ابزار بدون اتصال به اینترنت هم کار میکند؛ بنابراین اگر میخواهید مطمئن باشید، میتوانید پیش از ساخت عبارت عبور، اتصال اینترنت را قطع کنید.
ابزارهای بیشتر
- تولیدکننده رمز عبورحروف، اعداد و نمادهای تصادفی
- تولیدکننده PINکدهای عددی بدون گزینههای ساده
- تولیدکننده نام کاربرینامهایی برای حسابها و بازیها
- بررسی قدرت رمز عبوررمز عبور چقدر قوی است و آیا لو رفته؟
- تولیدکننده گروهی رمز عبوررمزهای عبور برای کل تیم یا کلاس
- تولیدکننده کد QR برای Wi-Fiکد QR برای اتصال به Wi-Fi شما