Parolă sau frază de acces: ce este mai sigur?

Mai puternic este ce conține mai mult hazard. O parolă aleatorie și o frază din cuvinte trase la sorți pot fi exact la fel de puternice. Diferența este în altă parte: parola este mai scurtă, fraza se ține minte și se tastează mai ușor. Mai jos calculăm câte cuvinte corespund câtor caractere și când se potrivește fiecare.

De unde vine puterea

Puterea se măsoară în biți. Fiecare bit în plus dublează numărul de încercări de care are nevoie un atacator. Calculăm strict: atacatorul știe cum a fost creată parola sau fraza, cunoaște lista de cuvinte și numărul lor și nu știe doar ce a ales hazardul.

• Parola aleatorie: fiecare caracter se alege din 81 posibilități (litere mici și mari, cifre și simboluri), deci aduce 6,3 biți.
• Fraza de acces: fiecare cuvânt se alege dintr-o listă de 7.776 de cuvinte englezești, deci aduce 12,9 biți. Un cuvânt valorează cât 2,0 caractere aleatorii.

Fraza de acces	Puterea	Parolă aleatorie la fel de puternică	Hash rapid (MD5)
4 cuvinte	52 biți	9 caractere	2 ore
5 cuvinte	65 biți	11 caractere	2 ani
6 cuvinte	78 biți	13 caractere	16.000 de ani
7 cuvinte	90 biți	15 caractere	130.000.000 de ani
8 cuvinte	103 biți	17 caractere	peste un miliard de ani

Generatorul pornește de la 6 cuvinte. O astfel de frază are 78 de biți, cât o parolă aleatorie de 13 caractere. Pentru comparație, o parolă aleatorie de 16 caractere are 101 biți, iar fraza o ajunge din urmă la 8 cuvinte.

Mai lungă, dar mai ușor de reținut

Cuvintele din listă au în medie 7,0 litere. O frază din 6 cuvinte legate prin cratimă are deci în medie 47 de caractere, pe când o parolă aleatorie la fel de puternică are doar 13. Lungimea contează puțin. Rețineți 6 cuvinte, nu 47 de caractere, iar pe telefon le tastați fără să treceți la cifre și simboluri.

Cu 6 cuvinte, fraza este bună, dar nu de neatins. Dacă s-ar scurge o bază de date cu hash-uri rapide, o singură placă grafică ar avea nevoie în medie de 16.000 de ani. Acolo unde serviciul păstrează parolele cu un hash lent (bcrypt în test), ar dura peste un miliard de ani. Generatorul consideră fraza foarte puternică de la 8 cuvinte.

Doar cuvinte trase la sorți

Cifrele din tabel sunt valabile numai pentru cuvinte alese de hazard. O propoziție inventată, un citat, un vers dintr-o melodie sau un proverb sunt mult mai slabe. Oamenii aleg cuvintele previzibil, iar atacatorii au dicționare cu fraze întregi.

Ajustările cerute de formulare ajută foarte puțin. O majusculă la începutul fiecărui cuvânt este ușor de presupus, deci nu aduce nimic. O cifră aleatorie la final aduce 3,3 biți, mai puțin decât un cuvânt. Dacă vreți o frază mai puternică, adăugați mai bine încă un cuvânt.

Când folosiți fiecare

• Parole pentru serviciile obișnuite: o parolă aleatorie din generatorul de parole, salvată într-un manager de parole. Nu trebuie s-o rețineți, așa că lungimea și caracterele nu contează.
• Ce trebuie să rețineți sau să tastați de mână: parola principală a managerului de parole, autentificarea în calculator sau criptarea discului. Aici o frază este mai potrivită. Pentru parola principală, care le protejează pe toate celelalte, trageți la sorți cel puțin 8 cuvinte.

Institutul american NIST cere în standardul SP 800-63B-4 cel puțin 15 caractere atunci când parola este singurul mod de autentificare, iar o frază de 6 cuvinte depășește lejer acest prag. Fie parolă, fie frază, regulile sunt aceleași: câte una pentru fiecare serviciu și autentificare în doi pași la conturile importante. Mai multe în articolul Cum creați o parolă puternică.

Generatorul de fraze de acces trage cuvintele la sorți direct în browserul dumneavoastră. Fraza nu este trimisă nicăieri și nu se salvează.