- ช่วงเวลา ความจำเป็นในการแคร็กรหัสผ่านขึ้นอยู่กับความยาว ความซับซ้อน และอัลกอริทึมที่ปกป้องรหัสผ่านนั้น
- รหัสผ่านสั้นหรือง่ายสามารถถอดรหัสได้ภายในไม่กี่วินาที ในขณะที่รหัสผ่านยาวและซับซ้อนสามารถใช้งานได้นานนับล้านปี
- ใช้ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และ สัญลักษณ์พร้อมกับผู้จัดการและการตรวจสอบยืนยันแบบสองขั้นตอน ช่วยเพิ่มความปลอดภัยได้อย่างมาก
ความปลอดภัยทางดิจิทัลเป็นเรื่องที่น่ากังวลมากขึ้นสำหรับทั้งบุคคลและธุรกิจ และด้วยเหตุผลที่ดี: การโจมตีทางไซเบอร์มีความซับซ้อนมากขึ้นทุกปี และแฮกเกอร์มีทรัพยากรทางเทคโนโลยีที่ทันสมัยมากขึ้นเรื่อยๆ ในการเจาะรหัสผ่าน แล้วจะใช้เวลานานแค่ไหนในการแฮกรหัสผ่านของคุณ? และระยะเวลานั้นขึ้นอยู่กับอะไรบ้าง?
อาจฟังดูเหลือเชื่อ แต่รหัสผ่านที่คุณใช้เวลาสร้างเพียงไม่กี่วินาทีอาจถูกถอดรหัสได้ทันทีด้วยโปรแกรมอัตโนมัติอย่างไรก็ตาม ข่าวดีก็คือ หากคุณปฏิบัติตามกฎง่ายๆ สองสามข้อและเข้าใจวิธีการทำงานของกระบวนการถอดรหัสคุณสามารถทำให้มันแทบเป็นไปไม่ได้เลย มาดูกันว่ามีปัจจัย วิธีการ และคำแนะนำอะไรบ้างโดยอิงจากข้อมูลและการศึกษาล่าสุด
ประเด็นสำคัญ: ปัจจัยที่มีอิทธิพลต่อเวลาการถอดรหัส
ระยะเวลาที่ใช้ในการถอดรหัสผ่านไม่ได้ขึ้นอยู่กับความคิดสร้างสรรค์ของคุณเพียงอย่างเดียวจริงๆ แล้วมันขึ้นอยู่กับปัจจัยทางเทคนิคหลายประการ :
- ความยาวรหัสผ่าน: ยิ่งกุญแจมีตัวอักษรมากเท่าไหร่ ยิ่งถอดรหัสได้ยากขึ้น.
- ความซับซ้อนของตัวละคร: ประกอบด้วย ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์ คูณค่าผสมที่เป็นไปได้แบบยกกำลัง
- อัลกอริทึมแฮชที่ปกป้องมัน: การสร้างรหัสผ่านในระบบที่ล้าสมัย (เช่น บนพื้นฐานของ MD5) ไม่เหมือนกับการสร้างรหัสผ่านในระบบสมัยใหม่ที่ใช้ bcrypt หรือ SHA256.
- พลังการประมวลผลของผู้โจมตี: GPU สมัยใหม่รองรับการทดสอบได้หลายล้านครั้งต่อวินาที.
- ประเภทการโจมตี: แฮกเกอร์สามารถใช้การโจมตีแบบบรูทฟอร์ซ พจนานุกรม ไฮบริด หรือมาส์ก และใช้ประโยชน์จาก ฐานข้อมูล รั่วไหลออกมา
การรวมกันขององค์ประกอบทั้งหมดเหล่านี้จะเป็นตัวกำหนดว่ารหัสผ่านจะถูกเจาะได้ภายในไม่กี่วินาทีหรือในอีกหลายล้านปีดังนั้น รหัสผ่านเดียวกันอาจอ่อนแอมากในเว็บไซต์หนึ่งและแทบจะเจาะไม่ได้เลยในอีกเว็บไซต์หนึ่ง ขึ้นอยู่กับสภาพแวดล้อม
บทบาทของความยาวและความหลากหลายของตัวละคร
คำถามสำคัญที่สุดก็คือ: ฉันต้องใช้รหัสผ่านกี่ตัวอักษร?ผลการศึกษาในปัจจุบันเห็นพ้องกันว่าความยาวของรหัสผ่านมีความสำคัญมากกว่าความซับซ้อนดังนั้นรหัสผ่าน 16 ตัวอักษรที่ประกอบด้วยตัวอักษรภาษาอังกฤษเท่านั้น จะมีความปลอดภัยมากกว่ารหัสผ่าน 8 ตัวอักษรที่ซับซ้อนมาก
อย่างไรก็ตามการผสมผสานความยาวเข้ากับอักขระที่หลากหลาย (ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์) จะช่วยเพิ่มระดับความปลอดภัยขึ้นไปอีกขั้น ตัวอย่างเช่น จากข้อมูลล่าสุดจากบริษัทต่างๆ เช่น Hive Systems รหัสผ่านที่มีความยาวดังนี้:
- 4 ตัวอักษร (ใช้เฉพาะตัวเลขหรือตัวอักษรพิมพ์เล็ก): ถอดรหัสได้ทันที.
- 8 ตัวอักษร (ผสมตัวเลข ตัวอักษร และสัญลักษณ์): ระหว่าง นาทีและชั่วโมง, ขึ้นอยู่กับ ฮาร์ดแวร์ และอัลกอริทึมแฮช
- 12 ตัวอักษรที่ซับซ้อน: ปีถึงล้านปี.
- 16 ตัวอักษรที่รวมทั้งหมด: แทบจะถอดรหัสไม่ได้เลย ด้วยกำลังดุร้าย (นับล้านล้านปี)
นอกจากนี้ หากรหัสผ่านเป็นคำศัพท์ง่ายๆ ในพจนานุกรม แม้จะมีสัญลักษณ์ผสมอยู่ด้วย ก็สามารถถูกถอดรหัสได้ภายในไม่กี่วินาทีหากรหัสผ่านนั้นเคยรั่วไหลมาก่อนเพื่อป้องกันปัญหานี้ ควรเรียนรู้วิธีป้องกันไม่ให้เบราว์เซอร์จดจำรหัสผ่านได้ง่ายๆและปกป้องข้อมูลของคุณ
เพราะเหตุใดการรวมเฉพาะตัวอักษรพิมพ์ใหญ่และพิมพ์เล็กเท่านั้นจึงไม่เพียงพออีกต่อไป?
เมื่อสิบปีที่แล้วรหัสผ่าน 10 ตัวอักษรที่ประกอบด้วยตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และตัวเลขถือว่ามีความปลอดภัยในระดับที่ยอมรับได้ อย่างไรก็ตามด้วยการพัฒนาของฮาร์ดแวร์ที่มีประสิทธิภาพสูงขึ้นและราคาถูกลง เช่น การ์ดกราฟิก Nvidia RTX รุ่นล่าสุด ที่ใช้ในระบบคลาวด์คอมพิวติ้งทำให้เวลาในการถอดรหัสลดลงอย่างมาก
ตัวอย่างเช่น รหัสผ่านประเภทที่ในปี 2012 สามารถทนทานได้นานกว่า 100 ปีปัจจุบันสามารถถูกเจาะได้ภายในไม่กี่สัปดาห์นั่นเป็นเหตุผล ที่แนะนำให้ใช้รหัสผ่านที่มีความยาวมากกว่า 12-14 ตัวอักษร และควรใส่สัญลักษณ์เพื่อเพิ่มความ ปลอดภัยเสมอ
ประเภทของการโจมตีและผลกระทบต่อเวลาในการถอดรหัส
การพยายามถอดรหัสผ่านไม่ได้ผลเหมือนกันทุกครั้ง ผู้ก่ออาชญากรรมทางไซเบอร์สามารถใช้กลยุทธ์หลายประการ:
- การโจมตีด้วยกำลังดุร้าย: ประกอบด้วยการลองทุกวิธีการที่เป็นไปได้จนกระทั่งพบรหัสผ่านที่ถูกต้อง เป็นวิธีที่ช้าที่สุด แต่ก็เป็นวิธีที่ให้ผลลัพธ์ได้มากที่สุดหากมีเวลาและทรัพยากรไม่จำกัด.
- การโจมตีพจนานุกรม: โดยอิงจากการทดสอบรายการคำทั่วไปและชุดคำ รวมถึงรหัสผ่านที่รั่วไหลจากการละเมิดก่อนหน้านี้ (HaveIBeenPwned เป็นต้น) อาชญากรไซเบอร์ขโมยรหัสผ่านบนเว็บไซต์ ด้วยวิธีนี้
- การโจมตีแบบไฮบริด: พวกมันรวมรายการคำที่มีการแทนที่ ("a" แทน "@" เป็นต้น) และการเปลี่ยนแปลงเชิงตัวเลข
- การโจมตีด้วยหน้ากาก: หากผู้โจมตีทราบรูปแบบหรือบางส่วนของรหัสผ่าน ก็สามารถลดจำนวนความพยายามที่จำเป็นได้อย่างมาก
อันตรายที่ร้ายแรงที่สุดคือการใช้รหัสผ่านที่รั่วไหลหรือคำศัพท์จากพจนานุกรมในกรณีเช่นนั้นรหัสผ่านเหล่านั้นสามารถถูกถอดรหัสได้ทันทีโดยไม่คำนึงถึงความยาวหรือสัญลักษณ์ที่คุณเพิ่มเข้าไปหากต้องการเรียนรู้วิธีการปกป้องรหัสผ่าน โปรดดูคำแนะนำเกี่ยวกับการลบรหัสผ่านที่บันทึกไว้ใน Windows
อิทธิพลของอัลกอริทึมแฮชและเทคโนโลยีของผู้โจมตี
รหัสผ่านไม่ควรเก็บในรูปแบบข้อความธรรมดาควรเก็บในรูปแบบแฮชที่สร้างขึ้นโดยอัลกอริทึมต่างๆ เช่น MD5, SHA256, bcrypt, PBKDF2 เป็นต้น ซึ่งแต่ละอัลกอริทึมมีคุณลักษณะและระดับความปลอดภัยที่แตกต่างกัน
- เอ็มดี5: อายุมากและเปราะบาง สามารถถอดรหัสรหัสผ่านที่เป็นตัวเลขหรือง่าย ๆ ที่มีความยาวสูงสุด 13 ตัวอักษรได้ทันที
- SHA256: ปลอดภัยมากขึ้นมาก รหัส 11 อักขระที่ประกอบไปด้วยตัวเลข ตัวอักษรพิมพ์ใหญ่และพิมพ์เล็ก และสัญลักษณ์ต่างๆ จะใช้เวลาถอดรหัสมากกว่า 2.000 ปี เรียนรู้วิธีการกู้คืนรหัสผ่านของคุณบน Android หากคุณประสบปัญหาในการเข้าถึง
- เข้ารหัสลับ: ซึ่งรวมถึงการใส่เกลือ (ข้อมูลสุ่มเพิ่มเติม) และปัจจัยต้นทุน (รอบการเข้ารหัสเพิ่มเติม) ซึ่งทำให้มีความทนทานอย่างยิ่ง รหัสผ่านที่ประกอบด้วยตัวอักษร 8 ตัวที่สร้างขึ้นอย่างดีอาจใช้เวลานานถึง 27.000 ปีในการถอดรหัส และแม้กระทั่งรหัสผ่านที่ประกอบด้วยตัวอักษร 12 หรือ 14 ตัวก็แทบจะไม่สามารถถูกโจมตีด้วยกำลังโดยตรงได้
ความเป็นจริงคือแม้ว่าอัลกอริทึมจะปลอดภัย แต่หากรหัสผ่านไม่แข็งแรงหรือรั่วไหล ก็จะยังคงมีความเสี่ยง
ต้องใช้เวลานานเท่าไรในการแคร็กพาสเวิร์ดจริงๆ? ตารางแนะนำ
บริษัทต่างๆ เช่น Hive Systems เผยแพร่การประมาณรายปีของเวลาที่จำเป็นในการแคร็กพาสเวิร์ดโดยอิงจากสถานการณ์ที่สมจริง (ฮาร์ดแวร์ขั้นสูงและรหัสผ่านแบบแฮช) โดยทั่วไปแล้วจะใช้การ์ดจอ Nvidia รุ่นล่าสุดและการตั้งค่าแฮชที่สมจริง
- รหัสผ่านแบบตัวเลข/ง่าย (ไม่เกิน 10 ตัวอักษร): การถอดรหัสทันที.
- 8 ตัวอักษรที่รวมทั้งหมด: ชั่วโมงถึง 164 ปี (ขึ้นอยู่กับความซับซ้อนและแฮช)
- 12 ตัวอักษร พร้อมสัญลักษณ์: จากหลายปีสู่ล้านปี ที่จะทำลายมัน
- อักขระสุ่ม 14 ถึง 16 ตัว: พันล้านปี.
ในสถานการณ์ที่ใช้รหัสผ่านที่ได้รับการปกป้องด้วย bcrypt และฮาร์ดแวร์ขั้นสูง การถอดรหัสรหัสผ่านแบบสุ่ม 8 อักขระอาจใช้เวลานานถึง 12 ปี ในขณะที่รหัสผ่านแบบไม่สุ่มหรือแบบรั่วไหลสามารถถอดรหัสได้ภายในเวลาเพียงไม่กี่วินาที
เหตุใดรหัสผ่านบัญชีจำนวนมากจึงถูกบุกรุกอยู่เรื่อยๆ
ถึงแม้จะมีตัวเลขเหล่านี้ แต่บัญชีนับล้านยังคงถูกบุกรุกอยู่ นี้เป็นเพราะว่า:
- รหัสผ่านถูกนำมาใช้ซ้ำ- หากคีย์ปรากฏขึ้นในการรั่วไหล ผู้โจมตีสามารถทดสอบคีย์นั้นในบัญชีอื่นได้
- ใช้รูปแบบหรือข้อมูลส่วนบุคคล (ชื่อ, วันเกิด, ทีมฟุตบอล, อาหารโปรด…)
- รหัสผ่านง่ายหรือสั้นเกินไป- ระบบโจมตีอัตโนมัติสามารถถอดรหัสได้ภายในไม่กี่วินาที
- การตรวจสอบยืนยันแบบสองขั้นตอนหรือ MFA ไม่ได้ถูกนำมาใช้.
แม้แต่อัลกอริทึมการแฮชที่มีประสิทธิภาพสูงก็ยังให้การป้องกันที่ดีกว่าเมื่อรหัสผ่านเป็นแบบสุ่มและยาว หากรหัสผ่านง่ายหรือรั่วไหลไปแล้ว ผู้โจมตีสามารถใช้ตารางเรนโบว์หรือการโจมตีแบบพจนานุกรมเพื่อเข้าถึงได้อย่างรวดเร็ว เพื่อป้องกันตัวเอง โปรดดูคำแนะนำเกี่ยวกับการสร้างรหัสผ่านที่ปลอดภัยด้วย ChatGPT
เครื่องมือและวิธีการป้องกันที่แนะนำ
ผู้เชี่ยวชาญและบริษัท ด้านความปลอดภัยทางไซเบอร์ส่วนใหญ่เห็นพ้องกันในแนวทางด้านความปลอดภัยหลายประการ:
- ใช้รหัสผ่านที่ยาว (ขั้นต่ำ 12-16 ตัวอักษร) และซับซ้อน- ควรเพิ่มสัญลักษณ์และรวมตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก และตัวเลขในรูปแบบที่ไม่สามารถคาดเดาได้เสมอ
- สร้างรหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละบริการ- ด้วยวิธีนี้ หากมีการรั่วไหลเกิดขึ้น ก็จะไม่กระทบต่อบัญชีทั้งหมดของคุณ
- อย่าใช้รหัสผ่านซ้ำ ไม่ว่าในกรณีใดๆ
- หลีกเลี่ยงรายละเอียดส่วนตัวและคำศัพท์ในพจนานุกรม.
- ใช้ตัวจัดการรหัสผ่าน (Bitwarden, LastPass, 1Password ฯลฯ) เพื่อสร้างและจัดเก็บรหัสผ่านที่แข็งแกร่งโดยไม่ต้องจดจำทั้งหมด
- เปิดใช้งานการตรวจสอบปัจจัยหลายประการ (MFA) เมื่อใดก็ตามที่เป็นไปได้- หากคุณสามารถหลีกเลี่ยง SMS ได้ ควรเดิมพันว่า ปพลิเคชัน ในขณะที่ KeePass o Google ตัวตรวจสอบสิทธิ์หรือแม้กระทั่งโทเค็นทางกายภาพ
เทคโนโลยีการไม่ต้องใช้รหัสผ่านและการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ทำให้แทบเป็นไปไม่ได้เลยที่ผู้โจมตีจะเข้าถึงบัญชีของคุณโดยใช้เพียงรหัสผ่านของคุณ แม้ว่าพวกเขาจะสามารถถอดรหัสได้ก็ตาม สำหรับรายละเอียดเพิ่มเติม โปรดดูวิธีการค้นหาชื่อผู้ใช้และรหัสผ่านของคุณบนอุปกรณ์ต่างๆ
ข้อผิดพลาดทั่วไปและคำแนะนำที่เป็นประโยชน์สำหรับการสร้างรหัสผ่านที่แข็งแกร่ง
หลายคนมักทำผิดพลาดโดยการใช้รหัสผ่านเดียวกันสำหรับทุกอย่าง บางคนเลือกใช้รูปแบบที่จำง่าย หรือจดรหัสผ่านไว้ในที่ที่ไม่ปลอดภัย นี่คือเคล็ดลับสำคัญ บางประการ :
- ทำให้แน่ใจ รหัสผ่านของคุณทั้งหมดมีความยาวเกิน 12 ตัวอักษร.
- เลือกการผสมผสานที่ไม่อาจเชื่อมโยงกับคุณได้: ไม่มีวันที่ ชื่อ รายละเอียดส่วนตัว หรือการทำซ้ำ
- ยัน ความจำส่วนบุคคล เพื่อจดจำกุญแจแต่ไม่ให้ใครเดาได้
- อย่าบันทึกรหัสผ่านในเบราว์เซอร์สาธารณะ หรืออุปกรณ์ที่ใช้ร่วมกัน
- ใช้ตัวจัดการรหัสผ่านเพื่อสร้าง จัดการ และเปลี่ยนรหัสผ่านของคุณ.
โปรดจำไว้ว่ามีบริการมากมายที่ตรวจสอบว่ารหัสผ่านของคุณเคยถูกละเมิดมาก่อนหรือไม่ เครื่องมืออย่างHaveIBeenPwnedสามารถแจ้งเตือนคุณได้หากบัญชีใด ๆ ของคุณปรากฏอยู่ในรายงานการรั่วไหลของข้อมูล
เราคาดหวังอะไรได้บ้างในอนาคต?
แนวโน้มชัดเจน: พลังของฮาร์ดแวร์จะเพิ่มขึ้นอย่างต่อเนื่อง ทำให้รหัสผ่านแบบง่ายๆ มีความปลอดภัยน้อยลงเรื่อยๆ นั่นเป็นเหตุผลว่าทำไม ระบบการตรวจสอบสิทธิ์แบบไม่ต้องใช้รหัสผ่าน หรือระบบที่ใช้ปัจจัยเพิ่มเติม เช่น ไบโอเมตริก แอปพลิเคชันบนมือถือ หรือคีย์ USBจึงค่อยๆ แพร่หลายมากขึ้นหากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับตัวเลือกที่มีอยู่ โปรดไปที่บทความของเราในหัวข้อ [หัวข้อหายไป]
การเติบโตของระบบคลาวด์คอมพิวติ้งยังเปิดโอกาสให้แฮกเกอร์ที่มีแรงจูงใจสามารถเช่า GPU ประสิทธิภาพสูงและทำการโจมตีขนาดใหญ่ได้นานหลายชั่วโมงในราคาประหยัด แต่คุณสามารถทำให้พวกเขาทำได้ยากขึ้นได้โดยทำตามคำแนะนำข้างต้น
ทุกอย่างชี้ให้เห็นว่าการป้องกันยังคงเป็นวิธีที่ดีที่สุดการเลือกใช้รหัสผ่านแบบสุ่ม ยาว และแข็งแกร่ง ควบคู่ไปกับการใช้โปรแกรมจัดการรหัสผ่านและการยืนยันตัวตนสองขั้นตอนเป็นวิธีที่ง่ายและมีประสิทธิภาพที่สุดในการหลีกเลี่ยงปัญหาออนไลน์ ด้วยข้อมูลและเครื่องมือในปัจจุบัน คุณมีทุกสิ่งที่คุณต้องการเพื่อสร้างความมั่นคงให้กับตัวตนดิจิทัลของคุณ
นักเขียนผู้หลงใหลเกี่ยวกับโลกแห่งไบต์และเทคโนโลยีโดยทั่วไป ฉันชอบแบ่งปันความรู้ผ่านการเขียน และนั่นคือสิ่งที่ฉันจะทำในบล็อกนี้ เพื่อแสดงให้คุณเห็นสิ่งที่น่าสนใจที่สุดเกี่ยวกับอุปกรณ์ ซอฟต์แวร์ ฮาร์ดแวร์ แนวโน้มทางเทคโนโลยี และอื่นๆ เป้าหมายของฉันคือการช่วยคุณนำทางโลกดิจิทัลด้วยวิธีที่เรียบง่ายและสนุกสนาน