Jelszó vagy jelszófrázis: melyik az erősebb?

Az az erősebb, amelyikben több a véletlen. Egy véletlen jelszó és egy véletlenszerűen kisorsolt szavakból álló frázis pontosan ugyanolyan erős lehet. A különbség máshol van: a jelszó rövidebb, a frázist könnyebb megjegyezni és begépelni. Alább kiszámoljuk, hány szó hány karakternek felel meg, és mikor melyik a jobb választás.

Honnan jön az erősség

Az erősséget bitben mérjük. Minden további bit megduplázza, hány próbálkozásra van szüksége a támadónak. Szigorúan számolunk: a támadó tudja, hogyan készült a jelszó vagy a frázis, ismeri a szólistát és a szavak számát, csak azt nem tudja, amit a véletlen döntött el.

• Véletlen jelszó: minden karaktert 81 lehetőség közül sorsolunk (kis- és nagybetűk, számjegyek és szimbólumok), így egy karakter 6,3 bitet ad.
• Jelszófrázis: minden szót egy 7776 angol szóból álló listából sorsolunk, így egy szó 12,9 bitet ad. Egy szó tehát 2,0 véletlen karaktert ér.

Jelszófrázis	Erősség	Ugyanilyen erős véletlen jelszó	Gyors hash (MD5)
4 szó	52 bit	9 karakter	2 óra
5 szó	65 bit	11 karakter	2 év
6 szó	78 bit	13 karakter	16 000 év
7 szó	90 bit	15 karakter	130 000 000 év
8 szó	103 bit	17 karakter	több mint egymilliárd év

A generátor 6 szóval indul. Egy ilyen frázis 78 bites, ugyanannyi, mint egy 13 karakteres véletlen jelszó. Összehasonlításképp: egy 16 karakteres véletlen jelszó 101 bites, a frázis 8 szónál éri utol.

Hosszabb, de könnyebb megjegyezni

A lista szavai átlagosan 7,0 betűsek. Egy kötőjellel összefűzött 6 szavas frázis így átlagosan 47 karakter hosszú, míg az ugyanolyan erős véletlen jelszó csak 13. A hossz alig zavar. 6 szót jegyez meg, nem 47 karaktert, és a telefonon számjegyekre és szimbólumokra váltás nélkül gépeli be.

6 szóval a frázis jó, de nem elérhetetlen. Ha kiszivárogna egy gyors hasht használó adatbázis, egyetlen videokártyának átlagosan 16 000 év kellene. Ahol a szolgáltatás lassú hashsel tárolja a jelszavakat (a tesztben bcrypt), ez több mint egymilliárd év lenne. A generátor 8 szótól minősíti a frázist nagyon erősnek.

Csak véletlenül kisorsolt szavak

A táblázat számai csak a véletlen által kiválasztott szavakra érvényesek. Egy kitalált mondat, idézet, dalszöveg vagy közmondás sokkal gyengébb. Az emberek kiszámíthatóan választanak szavakat, a támadóknak pedig egész kifejezések szótárai vannak.

Az űrlapok által kért módosítások alig segítenek. A szavak eleji nagybetűt a támadó könnyen feltételezi, így semmit sem ad hozzá. A végére tett véletlen számjegy 3,3 bitet ad, kevesebbet egy szónál. Ha erősebb frázist szeretne, inkább tegyen hozzá még egy szót.

Mikor melyiket

• Jelszavak a hétköznapi szolgáltatásokhoz: véletlen jelszó a jelszógenerátorból, jelszókezelőben tárolva. Nem kell megjegyeznie, így a hossza és a karakterei sem számítanak.
• Amit fejben kell tartania vagy kézzel begépelnie: a jelszókezelő mesterjelszava, a számítógépes bejelentkezés vagy a lemeztitkosítás. Itt a frázis a jobb. A mesterjelszóhoz, amely minden mást véd, sorsoljon legalább 8 szót.

Az amerikai NIST az SP 800-63B-4 szabványban legalább 15 karaktert ír elő, ha a jelszó az egyetlen bejelentkezési mód, és egy 6 szavas frázis bőven túllépi ezt a határt. Akár jelszót, akár frázist használ, ugyanazok a szabályok: szolgáltatásonként egy, a fontos fiókoknál pedig kétlépéses azonosítás. Bővebben a Hogyan készítsen erős jelszót című cikkben.

A jelszófrázis-generátor közvetlenül az Ön böngészőjében sorsolja ki a szavakat. A frázist nem küldi el sehová, és nem is menti.