מחולל סיסמאות שקל לזכור
- 7 מילים
מחולל ביטויי סיסמה אקראיים בחינם (passphrase generator)
צרו סיסמה שקל לזכור ממילים אקראיות: קל לזכור, קל להקליד וקשה לנחש. זהו הרעיון של xkcd ושיטת Diceware, ביישום מוקפד עם מחולל מספרים אקראיים מאובטח והערכת חוזק אמינה. ברירת המחדל, שבע מילים אקראיות, חזקה מספיק כמעט לכל שימוש שבו מקלידים סיסמה ידנית.
בחרו בין 3 ל־12 מילים, מה יפריד ביניהן, אותיות גדולות, מספר, תו מיוחד ואורך מרבי. המילים זמינות באנגלית ובתשע שפות נוספות. מילה מסוימת לא מוצאת חן בעיניכם? לחצו עליה כדי להחליף רק אותה. ביטוי הסיסמה נוצר במכשיר שלכם ולעולם אינו נשלח לשום מקום.
מעבר אל: למה זה מיועד? · כמה מילים? · שלוש מילים אקראיות · איך לזכור את ביטוי הסיסמה · שאלות
למה ישמש ביטוי הסיסמה?
ביטוי סיסמה מתאים כשצריך להקליד את הסיסמה בעצמכם. בחרו את השימוש, והמחולל ייפתח עם ההגדרות המתאימות.
- סיסמה ראשיתהסיסמה היחידה שאסור לשכוח: היא פותחת את מנהל הסיסמאות שלכם. אותיות גדולות ומספר עונים על הדרישות של אפליקציות שמחייבות אותם.8 מילים · אותיות גדולות · מספר
- הצפנת דיסקBitLocker, FileVault, VeraCrypt או LUKS. ביטוי הסיסמה מגן על כל מה שבדיסק, ולכן הוא מקבל את מספר המילים הגדול ביותר.8 מילים
- מפתח SSH או GPGפותח את המפתח הפרטי שלכם בכל פעם שאתם משתמשים בו.7 מילים
- הקראה בקול או הקלדה בטלוויזיהמילים פשוטות עם רווחים קל להקריא בטלפון או להקליד בעזרת שלט.7 מילים · רווחים
- אתר עם כללי סיסמה מחמיריםאותיות גדולות, ספרות אקראיות בין המילים ותו מיוחד אחד עונים על הדרישה ל״אות גדולה, אות קטנה, מספר ותו מיוחד״.6 מילים · אותיות גדולות · ספרות בין המילים · תו מיוחד
- שלוש מילים אקראיותההמלצה של ממשלת בריטניה לחשבונות מקוונים. מתאים כשהאתר מגביל ניסיונות כניסה שגויים ואתם משתמשים באימות דו־שלבי. חלש מדי לכל שימוש אחר, כפי שמוסבר בהמשך.3 מילים · אותיות גדולות · מספר · חלשה אם קובץ סיסמאות נגנב
- חשבונות חדשים לצוותעשרה ביטויי סיסמה שונים, אחד בכל שורה, עם כפתור העתקה נפרד לכל אחד. לכיתה או לחברה שלמה, השתמשו במחולל סיסמאות בצובר.10 ביטויי סיסמה, 7 מילים בכל אחד
- חשבון באתר או באפליקציהאם אף פעם לא מקלידים את הסיסמה, רצף תווים אקראי מספק את אותה רמת אבטחה באורך קצר יותר.מחולל סיסמאות
כמה מילים צריך?
כל מילה שתוסיפו תקשה על ניחוש ביטוי הסיסמה פי כ־7,400, כי התוקף צריך לנסות כל מילה ברשימה בכל מיקום. שבע מילים אקראיות, ברירת המחדל שלנו, מתאימות כמעט לכל שימוש שבו מקלידים סיסמה ידנית: כניסה למחשב, Wi-Fi או מפתח SSH. השתמשו בשמונה מילים למנהל סיסמאות או לכונן מוצפן. שלוש או ארבע מילים מתאימות רק לחשבונות שחוסמים ניסיונות שגויים, כפי שמוסבר בהמשך.
הזמן שמופיע מתחת למחולל מתייחס לתרחיש הגרוע ביותר: התוקף מכיר את רשימת המילים שלכם ויש ברשותו עותק שמאפשר לו לבדוק ניחושים במחשבים שלו, ללא הגבלה על מספר הניסיונות, למשל רשימת סיסמאות שנגנבה מאתר או עותק של קובץ מוצפן. עבור ביטוי הסיסמה שמוצג במחולל, הזמן שיידרש תלוי במי שמנסה לנחש אותו:
ביטוי הסיסמה שלכם7 מיליםאנגליתAbc123!@#
- כרטיס מסך אחד
- 98 מיליון שנה
- חזקה מאוד
- כמו במחשב גיימינג חזק
- 1,000 כרטיסי מסך הדירוג שלכם
- 98,000 שנה
- חזקה
- מושכרים לפי שעה, למשל לשימוש של ארגון פשיעה
- 100,000 כרטיסי מסך
- 980 שנה
- חזקה
- בסדר גודל של ממשלה או חברת טכנולוגיה גדולה. אף אחד לא מפרסם את הנתונים האלה.
תקיפה של אתר או מכשיר עם הגנה מתאימה אורכת הרבה יותר זמן: הוא חוסם ניסיונות שגויים חוזרים ושומר סיסמאות בצורה שמאטה את הניחוש שלהן. אבל אין לכם דרך לראות איך אתר שומר את הסיסמה שלכם, אז אל תסמכו על זה.
אותיות גדולות כמעט לא מוסיפות הגנה, כי גם תוקף יכול להחליף אותיות לגדולות בכל מילה. מספר או סמל מוסיפים מעט. מילה נוספת מוסיפה הכי הרבה. אם אתר מגביל את האורך, פתחו את כל אורך ובחרו את מגבלת האורך: המחולל ייצור רק ביטויי סיסמה שעומדים במגבלה, והחוזק המוצג בשורת החוזק יירד בהתאם.
האם סיסמה בת 3 מילים מספיקה?
המרכז הלאומי לאבטחת סייבר בבריטניה (NCSC) ממליץ להשתמש ב״שלוש מילים אקראיות״, ורבים מחפשים כיום מחולל סיסמאות בנות 3 מילים. זו עצה טובה למקרה שאליו היא נועדה: חשבון מקוון שחוסם ניסיונות ניחוש חוזרים, רצוי עם אימות דו־שלבי. ניחוש שלוש מילים אקראיות דרך דף כניסה, בקצב של 10 ניסיונות בשנייה, יימשך כ־650 שנים.
הבעיה מתעוררת במקרה של דליפת נתונים. אם הסיסמאות המגובבות של האתר נגנבות, אפשר לפצח את אותן שלוש מילים בתוך פחות משנייה, והוספת אותיות גדולות, מספר וסמל כמעט אינה עוזרת. לכן, השתמשו בשלוש מילים רק במקרים שאליהם מתייחסת המלצת ה־NCSC. למנהל סיסמאות, לכניסה למחשב, לרשת Wi-Fi או לכונן מוצפן, השתמשו בשבע מילים לפחות. הדוגמה שלוש מילים אקראיות שלמעלה פותחת את המחולל עם הגדרות בהתאם להמלצת ה־NCSC, ושורת חוזק הסיסמה מראה בכנות עד כמה הסיסמה חלשה.
מחולל סיסמאות בסגנון xkcd, כמו שצריך
הקומיקס המפורסם של xkcd טען שקל יותר לזכור ארבע מילים נפוצות שנבחרו באקראי מאשר את “Tr0ub4dor&3”, וקשה יותר לפצח אותן. הרעיון היה נכון. אבל המספרים נועדו להמחשה בלבד: ארבע מילים מתוך רשימה של 2,048 מילים נותנות 44 ביטים, וכרטיס מסך אחד יכול לעבור על כל האפשרויות בתוך פחות מדקה.
המחולל הזה שומר על הרעיון ומתקן את המספרים: רשימות של כ־7,400 מילים במקום 2,048, שבע מילים כברירת מחדל במקום ארבע, בלי לחזור על אותה מילה פעמיים, ומחולל מספרים אקראיים מאובטח במקום בחירה אנושית. שבע מילים נותנות כ־90 ביטים: כ־100,000 שנה, אפילו עם 1,000 כרטיסי מסך.
האקראיות היא החלק החשוב ביותר. אנשים שבוחרים מילים בעצמם נוטים לבחור מילים משירים, ציטוטים, שמות ומקומות, וכלי פיצוח מנסים אותם קודם. אפילו הביטוי “correct horse battery staple” מהקומיקס כבר מופיע אלפי פעמים במאגרי מידע שדלפו. במילים שנבחרו באקראי אין דפוס שאפשר לגלות, ולכן החישובים תקפים גם אם התוקף יודע שהשתמשתם ב־PassGen.co. כבר משתמשים בביטוי סיסמה שהמצאתם בעצמכם? בדקו אותו בבודק חוזק סיסמאות.
איך לזכור ביטוי סיסמה
- דמיינו תמונה. דמיינו את המילים כסצנה קצרה ומשעשעת, לפי הסדר. ניבתן עם פנס בקניון נחרט בזיכרון הרבה יותר משבע מילים נפרדות.
- בהתחלה, הקלידו אותו לעיתים קרובות. השתמשו בו כמה פעמים ביום בשבוע הראשון. אחר כך האצבעות כבר יזכרו אותו.
- כתבו אותו על נייר עד שתזכרו אותו. שמרו את הנייר בבית, לעולם לא יחד עם המכשיר שביטוי הסיסמה פותח, והשמידו אותו ברגע שתדעו את ביטוי הסיסמה בעל פה.
- השאירו את התווים המפרידים. מקפים או רווחים עוזרים לראות איפה טעיתם, ואין להם שום מחיר.
ביטויי סיסמה בשפה שלכם
מילים מוכרות קל יותר לזכור ולהקליד. בחרו רשימת מילים באמצעות כפתור הגלובוס: English, Deutsch, Español, Français, Italiano, Português, Català, Nederlands, Українська או Русский. בכל רשימה ראשית יש כ־5,900 עד 7,700 מילים, כך שביטוי סיסמה בכל אחת מהשפות האלה חזק כמעט כמו ביטוי סיסמה באנגלית, וחישוב החוזק שמתחת למחולל מביא בחשבון את מספר המילים המדויק ברשימה שבחרתם.
הרשימות באוקראינית וברוסית זמינות גם באותיות לטיניות, משום שבמסך האתחול של מחשב נייד מוצפן, בטלוויזיה או בדף הניהול של נתב, לעיתים קרובות אפשר להקליד רק בפריסת מקלדת אמריקאית. אם אי אפשר להקליד שם את ביטוי הסיסמה, לא תוכלו להיכנס. מאותה סיבה, בדקו שאפשר להקליד את ביטוי הסיסמה להצפנת הדיסק במסך האתחול לפני שתסתמכו עליו, או השתמשו ברשימה ללא אותיות עם סימנים דיאקריטיים.
English (מילים קצרות) כוללת מילים באורך של שלוש עד חמש אותיות, שקל יותר להקליד במהירות בטלפון או באמצעות שלט של טלוויזיה. מכיוון שיש פחות מילים לבחירה, כל מילה תורמת פחות לחוזק של ביטוי הסיסמה. לכן השתמשו בתשע מילים קצרות כדי לקבל את החוזק של שבע מילים מהרשימה הראשית.
איך זה עובד: פרטים טכניים
למי שרוצה לבדוק את הפרטים.
אקראיות מאובטחת
כל מילה נבחרת באמצעות crypto.getRandomValues(), בשיטת דגימת דחייה, כך שלכל מילה יש בדיוק אותו סיכוי להיבחר. אם נבחרת מילה שכבר נמצאת בביטוי הסיסמה, מגרילים שוב, כך שאף מילה לא מופיעה פעמיים.
הערכת חוזק
המספר המדויק של ביטויי הסיסמה השונים שאפשר ליצור בהגדרות שנבחרו. ללא אורך מרבי, המספר הוא N × (N − 1) × …, עם מספר גורמים כמספר המילים בביטוי, מתוך רשימה של N מילים. ספרות אקראיות בין המילים מכפילות אותו ב־10 לכל רווח בין מילים, „הוספת מספר” מכפילה אותו ב־10 × מספר המילים (איזו ספרה, איזו מילה), ו„הוספת סמל” מכפילה אותו ב־8 × מספר המילים (אחד מהסמלים ! @ # $ % ^ & *, איזו מילה). אותיות גדולות אינן מוסיפות לחוזק, וגם לא מפריד מותאם אישית, כי בחרתם אותו. מספר הביטים = log2 של המספר הזה. זמן הפיצוח = 2מספר הביטים − 1 ÷ (2 × 1014) שניות, עבור 1,000 כרטיסי מסך.
אורך מרבי
המחולל מחשב בדיוק כמה ביטויי סיסמה עומדים במגבלת האורך, לפי אורכי המילים ברשימה, ומגריל אחד מהם, כך שלכולם יש אותו סיכוי להיבחר. החוזק מחושב לפי מספר ביטויי הסיסמה שעומדים במגבלה.
מילים שהוחלפו
עבור כל מילה שהוחלפה k פעמים, החוזק יורד ב־log2(k + 1) ביטים. זו כמות המידע המרבית שבחירה באחת מתוך k + 1 מילים יכולה לחשוף.
רשימות בגודל שמתאים לקוביות
רוב הרשימות מתחילות ב־7,776 מילים, כלומר 6 × 6 × 6 × 6 × 6 — מספר התוצאות האפשריות בהטלת חמש קוביות. זו שיטת Diceware: מטילים חמש קוביות ומחפשים ברשימה את המילה המתאימה לתוצאה. ברשימות בספרדית, באיטלקית ובקטלאנית יש 8,192 מילים, וברשימת המילים הקצרות באנגלית יש 1,296, בהתאם לארבע קוביות. בגלל הסינון שמתואר בהמשך, המחולל משתמש במחולל המספרים האקראיים של הדפדפן שלך ולא במספרי קוביות.
סינון
מילים שמכילות תו מפריד, כמו „yo-yo”, מוסרות כדי שיהיה ברור היכן כל מילה מסתיימת. כך גם שמות של אנשים ומקומות, גם כשהם מופיעים ברשימה באותיות קטנות, ומילים שעלולות להיות לא נעימות או מביכות בביטוי סיסמה שאולי ייאמר בקול, כמו מחלות, סמים, כלי נשק וכינויי גנאי. מספר המילים הזמינות לשימוש: English 7,424, English (מילים קצרות) 1,234, Deutsch 6,947, Español 5,962, Français 7,347, Italiano 7,667, Português 7,429, Català 7,186, Nederlands 7,337, Українська 7,430, Українська (латиницею) 7,480, Русский ו־Русский (латиницей) 7,608 בכל אחת. חישוב החוזק משתמש במספרים האלה, ולכן נשאר מדויק.
רשימות מילים
הרשימה באנגלית היא EFF Long Wordlist (CC BY 4.0), והרשימה באנגלית (מילים קצרות) היא EFF Short Wordlist 1 (CC BY 3.0 US). הרשימות בגרמנית, בספרדית, באיטלקית ובקטלאנית מגיעות מרשימות diceware של ulif (CC BY), הרשימה בצרפתית מפרויקט Tails (CC0), הרשימה בהולנדית מ־mko.re (CC BY), והרשימה באוקראינית מ־git-leaf (MIT). הרשימה ברוסית נבנתה עבור PassGen.co מנתוני OpenRussian.org (CC BY-SA 4.0), והרשימה בפורטוגזית מנתוני שכיחות המילים של OpenSubtitles (hermitdave/FrequencyWords) ומוויקיפדיה בפורטוגזית (CC BY-SA 4.0).
שאלות נפוצות
מהי דוגמה לביטוי סיסמה טוב?
משהו כמו קטיפה-נמל-שרטוט-פנס-קקטוס-ניבתן-קניון: שבע מילים שאין ביניהן קשר ושאינן קשורות אליכם. לעולם אל תשתמשו בדוגמה שראיתם שפורסמה, כולל הדוגמה הזאת. צרו ביטוי סיסמה משלכם למעלה.
האם ביטוי סיסמה בן ארבע מילים בטוח?
רק במקרים שבהם מספר הניחושים השגויים מוגבל, למשל בטלפון שננעל אחרי כמה ניסיונות. אם ערך הגיבוב של ביטוי הסיסמה ייגנב, ביטוי בן ארבע מילים יפוצח בתוך שניות. השתמשו בשבע מילים לחשבונות, ובשמונה מילים לכל מה שמגן על סיסמאות אחרות.
מה ההבדל בין ביטוי סיסמה לסיסמה?
סיסמה היא בדרך כלל רצף קצר של תווים מסוגים שונים; ביטוי סיסמה הוא רצף ארוך יותר של מילים. ביטוי סיסמה הוא מה שרוב האנשים מתכוונים אליו כשהם אומרים סיסמה שקל לזכור. כדי להגיע לאותה רמת חוזק, ביטוי סיסמה צריך להיות ארוך יותר, אבל הרבה יותר קל להקליד ולזכור אותו. השתמשו בביטוי סיסמה כשאתם מקלידים בעצמכם, ובסיסמה אקראית כשמנהל הסיסמאות ממלא אותה עבורכם.
האם זה מחולל Diceware?
הוא משתמש באותה שיטה: מילים שנבחרות באקראי מרשימה שגודלה מותאם להטלת קוביות. ברוב הרשימות יש 7,776 מילים, כמספר התוצאות האפשריות בהטלת חמש קוביות. במקום להטיל קוביות, הוא משתמש במחולל המספרים האקראיים המאובטח של הדפדפן, שמספק אותה רמת אקראיות, והוא הרבה יותר מהיר. החוזק המוצג מחושב לפי הרשימה שבה הוא משתמש בפועל.
למה מוצג זמן פיצוח קצר לביטוי סיסמה ארוך?
החוזק תלוי במספר ביטויי הסיסמה שאפשר ליצור בהגדרות שבחרתם, ולא במספר האותיות שבהם. תוקף מנחש מילים שלמות מהרשימה, ולכן מילים ארוכות לא עוזרות יותר ממילים קצרות, ואות גדולה בתחילת כל מילה לא מוסיפה לחוזק. הוספת מילה מכפילה את הזמן בערך פי 7,400.
אפשר להחליף רק מילה אחת?
כן. הקישו או לחצו על המילה, או עברו אליה בעזרת מקשי החצים ולחצו על Enter. רק המילה הזאת תשתנה. שורת החוזק מפחיתה מעט על כל החלפה, כי מילה שבחרתם היא קצת פחות אקראית ממילה שלא בחרתם.
אפשר ליצור כמה ביטויי סיסמה בבת אחת?
כן. פתחו את כמה ביטויי סיסמה מתחת לתוצאה ובחרו עד 16, כל אחד עם כפתור העתקה משלו. לכיתה או לחברה שלמה, מחולל הסיסמאות בכמות גדולה יוצר עד 1,000 סיסמאות ומייצא אותן עבור Microsoft 365, Google Workspace או Active Directory.
אפשר להשתמש ברווחים בביטוי סיסמה?
בדרך כלל כן. רוב האתרים, מערכות ההפעלה וכלי ההצפנה מאפשרים רווחים. כמה מערכות ישנות מסירות או דוחות אותם, אז אם אינכם בטוחים, השתמשו במקפים. אם אתר לא מקבל גם מקפים, בחרו באפשרות מותאם אישית והקלידו תו שהוא מקבל. החוזק זהה בכל מקרה.
איך מוסיפים ביטוי סיסמה למפתח SSH או GPG?
למפתח SSH קיים, הריצו ssh-keygen -p -f ~/.ssh/id_ed25519 והדביקו את ביטוי הסיסמה כשתתבקשו. עבור GPG, הריצו gpg --passwd ואחריו את מזהה המפתח שלכם. בעת יצירת מפתחות חדשים תתבקשו להזין ביטוי סיסמה.
אפשר להשתמש בזה לביטוי שחזור של ארנק קריפטו?
לא. ביטוי שחזור בן 12 או 24 מילים חייב להיווצר בארנק שלכם, שמשתמש ברשימת מילים משלו ובסכום ביקורת מובנה, ולכן מילים מכאן לא יהיו תקפות. ביטוי הסיסמה האופציונלי בתקן BIP39, שחלק מהארנקים מציעים, הוא שונה: אתם בוחרים אותו בעצמכם, ולכן ביטוי סיסמה מכאן מתאים לו היטב. שמרו עליו באותה זהירות שבה אתם שומרים על ביטוי השחזור, כי אי אפשר לשחזר את הארנק בלעדיו.
האם בטוח ליצור ביטוי סיסמה באינטרנט?
כאן, כן. ביטוי הסיסמה נוצר באמצעות קוד שרץ בדפדפן שלכם ולעולם לא נשלח אלינו. אחרי שהדף נטען, הוא עובד גם בלי חיבור לאינטרנט, כך שאם אתם רוצים להיות בטוחים, אפשר להתנתק לפני יצירת ביטוי הסיסמה.