ตรวจความแข็งแรงรหัสผ่าน

Entropy (เอนโทรปีของรหัสผ่าน) คือหน่วยวัดทางคณิตศาสตร์ที่บอกถึง "ความคาดเดายาก" หรือความสุ่มของรหัสผ่าน มีหน่วยเป็น บิต (Bits) ยิ่งมีค่าสูง แปลว่าแฮกเกอร์จะต้องใช้เวลาและทรัพยากรคอมพิวเตอร์ในการสุ่มเดารหัสนานขึ้นแบบทวีคูณ

เกณฑ์มาตรฐาน Entropy

• ต่ำกว่า 40 bits (อ่อนมาก): โดนสุ่มเดาได้ทันทีภายในไม่กี่วินาทีหรือนาที
• 40 - 60 bits (พอใช้): ป้องกันการสุ่มทั่วไปได้ แต่ไม่ปลอดภัยหากถูกโจมตีแบบเจาะจง
• 60 - 80 bits (ดี): ปลอดภัยสำหรับการใช้งานทั่วไปในชีวิตประจำวัน (ใช้เวลาเดาหลายปี)
• มากกว่า 80 bits (แข็งแรงมาก): ปลอดภัยระดับสูงสุด ต้องใช้เวลาแสนล้านปีในการถอดรหัส

เคล็ดลับการตั้งรหัสผ่านให้ปลอดภัยและจำง่าย

• ใช้รหัสผ่านแบบ 'พาสเฟรส (Passphrase)' โดยนำคำ 4-5 คำที่ไม่มีความเกี่ยวข้องกันมาร้อยเรียง เช่น 'ช้างสีฟ้ากินกาแฟร้อน'
• ผสมผสานตัวเลขและอักขระพิเศษแทรกเข้าไป เช่น 'Chang#Blue2026!Coffee'
• หลีกเลี่ยงการใช้วันเดือนปีเกิด เบอร์โทรศัพท์ หรือชื่อจริงในการตั้งรหัสผ่าน
• ไม่ใช้รหัสผ่านเดียวกันซ้ำกันในหลายๆ เว็บไซต์

ค่าประเมินไม่ใช่เวลาที่ผู้โจมตีใช้จริงเสมอ

เวลาที่แสดงอาศัยสมมติฐานเกี่ยวกับจำนวนรูปแบบรหัสและอัตราการลอง ซึ่งอาจต่างจากระบบจริงอย่างมาก การโจมตีบัญชีผ่านหน้าเข้าสู่ระบบที่จำกัดจำนวนครั้งต่างจากการเดารหัสจากฐานข้อมูลที่รั่วออกไปแล้ว จึงไม่ควรตีความผลว่า “จะปลอดภัยอีกกี่ปี” อย่างแน่นอน ควรอ่านเป็นเครื่องช่วยชี้ว่ารหัสสั้น รูปแบบเดาง่าย หรือองค์ประกอบซ้ำมีผลต่อการคาดเดาอย่างไร

ความยาวกับความคาดเดายากต้องพิจารณาร่วมกัน

ข้อความยาวที่เป็นประโยคยอดนิยม ชื่อบุคคลต่อด้วยวันเกิด หรือรูปแบบแป้นพิมพ์อาจเดาง่ายกว่าสตริงสุ่มที่มีความยาวใกล้กัน การเพิ่มตัวเลขท้ายคำที่ใช้บ่อยไม่ได้ทำให้ทุกตำแหน่งเป็นความสุ่มอิสระ และเครื่องมือตรวจทั่วไปไม่สามารถรู้ข้อมูลส่วนตัวที่ผู้โจมตีอาจทราบเกี่ยวกับเจ้าของบัญชีได้ หากต้องการลองเปรียบเทียบ ควรใช้รหัสตัวอย่างที่ไม่ได้ใช้งานจริงแล้วดูว่าเปลี่ยนความยาวหรือรูปแบบมีผลอย่างไร

หลีกเลี่ยงการใช้รหัสเดียวหลายบัญชี

แม้รหัสผ่านหนึ่งจะประเมินว่าเดายาก หากเคยถูกเปิดเผยจากบริการอื่นและนำมาใช้ซ้ำ ผู้โจมตีก็อาจไม่ต้องเดาอีก การใช้รหัสที่แตกต่างกันและเครื่องมือจัดการรหัสที่เหมาะสมช่วยลดปัญหาการใช้ซ้ำ พร้อมเปิดการยืนยันตัวตนเพิ่มเติมเมื่อบริการรองรับ หน้านี้คำนวณในเบราว์เซอร์ แต่ไม่ตรวจฐานข้อมูลรั่ว ไม่ตรวจว่าเครื่องหรือส่วนขยายมีความปลอดภัย และไม่รับรองว่าบัญชีจะไม่ถูกยึดจากวิธีอื่น เช่น การหลอกให้เปิดเผยข้อมูล