ตัวตรวจสอบความแข็งแกร่งของรหัสผ่าน

ตัวตรวจสอบความแข็งแกร่งของรหัสผ่านเป็นเครื่องมือฟรีที่ใช้ประเมินรหัสผ่าน แสดงจำนวนอักขระ และจัดระดับความแข็งแกร่ง

รหัสผ่านของฉันถูกตรวจสอบที่ไหน?

ยังไม่ทราบแน่ชัดว่าเครื่องมือนี้ประมวลผลรหัสผ่านที่คุณป้อนไว้ที่ใด อย่าคิดไปเองว่าการตรวจสอบเกิดขึ้นเฉพาะในเบราว์เซอร์ แต่ในขณะเดียวกันก็ไม่มีข้อมูลยืนยันว่ารหัสผ่านถูกส่งไปยังที่อื่น

เนื่องจากไม่ทราบตำแหน่งที่ใช้ประมวลผล จึงไม่ควรป้อนรหัสผ่านที่กำลังใช้ปกป้องบัญชีอยู่ ให้สร้างรหัสผ่านสมมติที่มีความยาวและโครงสร้างใกล้เคียงกันแทน ตัวอย่างเช่น หากรหัสผ่านจริงของคุณเป็นวลีรหัสผ่านสี่คำ ให้ทดสอบด้วยคำอื่นที่ไม่เกี่ยวข้องกันสี่คำ แทนการใช้วลีจริง

รหัสผ่านที่แข็งแกร่งควรเป็นอย่างไร?

รหัสผ่านที่แข็งแกร่งควรมีความยาว คาดเดาได้ยาก และใช้กับบัญชีเดียวเท่านั้น โดยทั่วไป ความยาวมีประโยชน์มากกว่าลูกเล่นด้านความซับซ้อน เช่น เปลี่ยน 'a' เป็น '@' หรือเติม '1!' ต่อท้ายคำที่คุ้นเคย

ซอฟต์แวร์ถอดรหัสผ่านจะลองคำที่มีแนวโน้มจะถูกใช้ รูปแบบที่พบบ่อย รหัสผ่านที่รั่วไหล และรูปแบบดัดแปลงที่คาดเดาได้ ก่อนจะไล่ลองชุดอักขระที่มีโอกาสน้อยลง รหัสผ่านที่ยาวขึ้นทำให้มีรูปแบบที่ต้องทดสอบมากขึ้น โดยเฉพาะเมื่อสร้างเนื้อหาแบบสุ่ม ไม่มีตัวเลขระยะเวลาในการถอดรหัสค่าเดียวที่เชื่อถือได้สำหรับรหัสผ่านทุกกรณี เพราะผลลัพธ์ขึ้นอยู่กับอุปกรณ์ของผู้โจมตี วิธีที่บริการจัดเก็บรหัสผ่าน และการโจมตีเกิดขึ้นผ่านระบบออนไลน์หรือกับข้อมูลรหัสผ่านที่ถูกขโมยมา

• เลือกรหัสผ่านที่สร้างแบบสุ่มและมีความยาวมากขึ้น หากใช้โปรแกรมจัดการรหัสผ่านช่วยจดจำให้
• สร้างวลีรหัสผ่านจากคำที่ไม่เกี่ยวข้องกันและเลือกแบบสุ่ม เพื่อให้พิมพ์และจดจำได้ง่ายขึ้น
• หลีกเลี่ยงชื่อ วันเกิด สโมสรฟุตบอล รหัสไปรษณีย์ และข้อมูลที่มองเห็นได้บนโซเชียลมีเดีย
• อย่าพึ่งพาเพียงตัวพิมพ์ใหญ่หนึ่งตัว ตัวเลขหนึ่งตัว และสัญลักษณ์หนึ่งตัว หากคำหลักยังคาดเดาได้
• ใช้รหัสผ่านไม่ซ้ำกันในทุกบัญชี

สัญลักษณ์ ตัวเลข และการใช้ตัวพิมพ์ใหญ่สลับตัวพิมพ์เล็กช่วยเพิ่มจำนวนอักขระที่เป็นไปได้ แต่จะมีประสิทธิภาพที่สุดเมื่อเลือกแบบสุ่ม และไม่สามารถชดเชยรหัสผ่านที่สั้นหรือมีผู้ใช้กันอย่างแพร่หลายได้

ใช้ตัวตรวจสอบความแข็งแกร่งของรหัสผ่านอย่างไร?

ป้อนรหัสผ่านสมมติสำหรับทดสอบ แล้วดูข้อมูล จำนวนอักขระ และ ความแข็งแกร่ง ระดับที่เครื่องมือแสดงได้มี ไม่มีข้อมูล, ต่ำมาก, ต่ำ, ปานกลาง และ แข็งแกร่ง

1. สร้างตัวอย่างสมมติที่มีโครงสร้างคล้ายกับรหัสผ่านที่คุณกำลังพิจารณา
2. ตรวจสอบจำนวนอักขระ
3. ใช้ระดับความแข็งแกร่งเป็นแนวทาง ไม่ใช่หลักประกันด้านความปลอดภัย
4. หากผลลัพธ์ระบุว่าอ่อนแอ ให้เพิ่มความยาวอย่างเหมาะสมหรือสร้างรหัสผ่านแบบสุ่มขึ้นใหม่ อย่าเพียงเติมตัวเลขที่คาดเดาได้ต่อท้าย
5. บันทึกรหัสผ่านสุดท้ายซึ่งต้องไม่ซ้ำกับบัญชีอื่นไว้ในโปรแกรมจัดการรหัสผ่าน ไม่ใช่ไฟล์บันทึก เอกสาร หรืออีเมลฉบับร่าง

เครื่องมือไม่ได้ระบุกฎและเกณฑ์ที่ใช้ให้คะแนน จึงไม่สามารถคาดการณ์ระดับที่แน่นอนได้อย่างน่าเชื่อถือ ตัวอย่างต่อไปนี้แสดงรูปแบบข้อมูลที่นำมาเปรียบเทียบได้โดยไม่ต้องเปิดเผยรหัสลับจริง:

• Garden7! มี 8 อักขระ และใช้รูปแบบคำที่จดจำได้ตามด้วยส่วนต่อท้าย
• copper railway tulip orbit มี 26 อักขระเมื่อนับรวมช่องว่าง ตัวอย่างนี้แสดงให้เห็นว่าวลีรหัสผ่านหลายคำช่วยเพิ่มความยาวได้อย่างไร แต่ไม่ควรนำวลีตัวอย่างที่เผยแพร่ต่อสาธารณะไปใช้เป็นรหัสผ่านจริง
• mQ7!vP2#zL9@ มี 12 อักขระและดูเหมือนสร้างแบบสุ่ม ส่วนระดับความแข็งแกร่งที่แน่นอนขึ้นอยู่กับวิธีประเมินของเครื่องมือ

การใช้รหัสผ่านซ้ำและวลีรหัสผ่าน

การใช้รหัสผ่านซ้ำเป็นความเสี่ยงที่พบได้ทั่วไป เพราะเมื่อบริการหนึ่งถูกเจาะ ข้อมูลเข้าสู่ระบบที่รั่วไหลอาจถูกผู้โจมตีนำไปลองกับเว็บไซต์อื่น กระบวนการอัตโนมัตินี้เรียกว่า credential stuffing แม้รหัสผ่านจะซับซ้อน แต่ถ้าใช้ซ้ำกับบัญชีอีเมล ร้านค้าออนไลน์ และโซเชียลมีเดีย ความปลอดภัยของทุกบัญชีก็จะขึ้นอยู่กับบริการทุกแห่งที่ใช้รหัสผ่านนั้น

โปรแกรมจัดการรหัสผ่านช่วยแก้ปัญหานี้ด้วยการสร้างและจัดเก็บรหัสผ่านแบบสุ่มที่แตกต่างกันสำหรับการเข้าสู่ระบบแต่ละรายการ ทั้งโปรแกรมที่มากับเบราว์เซอร์และแอปพลิเคชันเฉพาะทางสามารถกรอกรหัสผ่านที่ยาวให้ได้โดยคุณไม่ต้องจำเอง ปกป้องโปรแกรมจัดการรหัสผ่านด้วยรหัสผ่านหลักที่แข็งแกร่งและไม่ซ้ำใคร พร้อมเปิดใช้การยืนยันตัวตนหลายปัจจัยหากผู้ให้บริการรองรับ

วลีรหัสผ่านเป็นอีกทางเลือกที่เหมาะสมเมื่อต้องใช้รหัสที่จดจำได้ เช่น รหัสผ่านหลัก ให้เลือกคำที่ไม่เกี่ยวข้องกันหลายคำแบบสุ่ม และหลีกเลี่ยงคำคม เนื้อเพลง สำนวนที่มีชื่อเสียง หรือประโยคเกี่ยวกับชีวิตของคุณ ช่องว่างอาจช่วยเพิ่มความยาวได้ แต่บัญชีนั้นต้องอนุญาตให้ใช้ช่องว่าง สำหรับรหัสผ่านที่ไม่จำเป็นต้องจำเพื่อพิมพ์เอง ตัวสร้างรหัสผ่านมักเป็นตัวเลือกที่เหมาะกว่า

เครื่องมือตรวจสอบรับประกันได้ไหมว่ารหัสผ่านปลอดภัย?

ไม่ได้ ระดับความแข็งแกร่งไม่สามารถรับประกันว่ารหัสผ่านจะปลอดภัย เครื่องมือเพียงประเมินข้อความที่ป้อนตามกฎของตนเอง ขณะที่ความปลอดภัยของบัญชียังขึ้นอยู่กับการไม่ใช้รหัสผ่านซ้ำ การจัดเก็บอย่างปลอดภัย วิธีจัดการรหัสผ่านของบริการ และการป้องกันฟิชชิง

เครื่องมือตรวจสอบอาจนับช่องว่าง เครื่องหมายวรรคตอน ตัวอักษรที่มีเครื่องหมายกำกับ และอักษรที่ไม่ใช่ละตินเป็นอักขระในรหัสผ่าน แต่เว็บไซต์ที่คุณจะนำรหัสผ่านไปใช้อาจมีกฎต่างออกไป อักขระ Unicode อาจมีรูปแบบข้อมูลพื้นฐานต่างกันแม้จะดูเหมือนกัน ตรวจสอบให้แน่ใจว่าบริการปลายทางยอมรับรหัสผ่านนั้นทุกอักขระ และโปรแกรมจัดการรหัสผ่านสามารถกรอกซ้ำได้อย่างถูกต้อง

รหัสผ่านที่มีเฉพาะตัวเลขจะถูกไล่ลองครบทุกค่าที่เป็นไปได้ง่ายกว่าเมื่อมีความยาวเท่ากัน เพราะใช้ชุดอักขระขนาดเล็ก ข้อมูลที่ยาวมากอาจได้รับผลประเมินที่ดี แต่แบบฟอร์มเข้าสู่ระบบบางแห่งอาจตัดความยาวหรือปฏิเสธรหัสผ่านนั้น ช่องที่เว้นว่างไม่มีข้อมูลให้ประเมิน และ ไม่มีข้อมูล เป็นหนึ่งในสถานะที่เครื่องมือนี้แสดง

ระดับที่แสดงไม่ได้ยืนยันว่ารหัสผ่านนั้นไม่เคยปรากฏในการรั่วไหลของข้อมูล อีกทั้งไม่มีข้อมูลว่าเครื่องมือนี้ตรวจสอบฐานข้อมูลรหัสผ่านที่รั่วไหล ดังนั้นอย่าสรุปว่ามีการตรวจสอบดังกล่าวเพียงเพราะได้ผลลัพธ์ แข็งแกร่ง

คำถามที่พบบ่อย

ทำไมเครื่องมือตรวจรหัสผ่านสองตัวถึงให้ผลไม่เหมือนกัน?

เครื่องมือตรวจสอบแต่ละตัวอาจใช้แบบจำลองการให้คะแนน พจนานุกรม หรือกฎตรวจจับรูปแบบต่างกัน เครื่องมือหนึ่งอาจให้คะแนนจากความหลากหลายของอักขระ ขณะที่อีกเครื่องมือให้น้ำหนักกับความยาวหรือคำที่จดจำได้มากกว่า ให้ถือว่าระดับเหล่านี้เป็นค่าประมาณ และปฏิบัติตามคำแนะนำด้านความปลอดภัยที่สอดคล้องกัน โดยเฉพาะการใช้รหัสผ่านไม่ซ้ำและมีความยาวเพียงพอ

ใส่ข้อมูลส่วนตัวในรหัสผ่านที่ยาวได้ไหม?

ไม่ควร ความยาวช่วยได้ไม่มากหากสามารถประกอบรหัสผ่านจากชื่อ ที่อยู่ วันเกิด นายจ้าง หรือโพสต์สาธารณะของคุณ ให้เลือกอักขระแบบสุ่มหรือคำที่ไม่เกี่ยวข้องกันและไม่มีความเชื่อมโยงกับข้อมูลส่วนตัว

เปลี่ยนอักขระแค่ตัวเดียวแล้วใช้รหัสผ่านเดิมต่อจะปลอดภัยไหม?

โดยทั่วไปไม่ปลอดภัย หากเปลี่ยนตามรูปแบบที่เห็นได้ชัด ผู้โจมตีมักลองเปลี่ยนส่วนต่อท้าย อัปเดตปี และแทนตัวอักษรด้วยอักขระอื่น เช่น ใช้ '3' แทน 'e' หากสงสัยว่ารหัสผ่านถูกเปิดเผย ให้เปลี่ยนเป็นรหัสผ่านใหม่ทั้งหมดที่ไม่ซ้ำใคร และเปลี่ยนในทุกแห่งที่เคยใช้รหัสผ่านเดิมซ้ำ

ใช้อีโมจิเป็นส่วนหนึ่งของรหัสผ่านได้ไหม?

บางระบบยอมรับอีโมจิ แต่แบบฟอร์มเข้าสู่ระบบ แป้นพิมพ์ และขั้นตอนกู้คืนบัญชีอาจรองรับไม่เหมือนกัน นอกจากนี้ อีโมจิหนึ่งตัวอาจประกอบด้วย Unicode code point มากกว่าหนึ่งค่า ทำให้ความยาวที่มองเห็นกับความยาวทางเทคนิคต่างกัน โดยทั่วไป อักขระแบบสุ่มทั่วไปหรือวลีรหัสผ่านที่ยาวจะพิมพ์ซ้ำได้อย่างถูกต้องและสม่ำเสมอกว่า

ถ้ารหัสผ่านแข็งแกร่งแล้ว ยังต้องใช้การยืนยันตัวตนหลายปัจจัยไหม?

ยังควรใช้เมื่อมีตัวเลือกนี้ การยืนยันตัวตนหลายปัจจัยช่วยจำกัดความเสียหายหากรหัสผ่านถูกขโมยผ่านฟิชชิง มัลแวร์ หรือการรั่วไหลของบริการ โดยทั่วไป แอปยืนยันตัวตนหรือกุญแจรักษาความปลอดภัยช่วยหลีกเลี่ยงความเสี่ยงที่เกี่ยวข้องกับรหัสซึ่งส่งทางข้อความได้ แต่แต่ละบริการเป็นผู้กำหนดว่าจะรองรับวิธีใดบ้าง

ตรวจสอบอีกครั้งก่อนนำไปใช้

• อย่าป้อนรหัสผ่านที่กำลังใช้งานอยู่ในเครื่องมือนี้ เพราะไม่ทราบตำแหน่งที่ใช้ประมวลผล
• เน้นความยาวและการคาดเดาได้ยาก แทนการเพิ่มความซับซ้อนเพียงผิวเผิน
• ใช้รหัสผ่านแยกกันสำหรับทุกบัญชี
• เก็บรหัสผ่านที่สร้างขึ้นไว้ในโปรแกรมจัดการรหัสผ่าน ไม่ใช่ไฟล์บันทึกที่ไม่มีการป้องกัน
• ก่อนบันทึกรหัสผ่าน ตรวจสอบว่าบริการปลายทางยอมรับช่องว่าง สัญลักษณ์ และความยาวของรหัสผ่านนั้น