איך יוצרים סיסמה חזקה שאפשר גם לזכור

מה הופך סיסמה לחזקה, כמה תווים צריך, מתי עדיף ביטוי סיסמה מכמה מילים, ואיך יוצרים סיסמאות אקראיות בלי לשלוח אותן לשום מקום.

רוב הפריצות לחשבונות לא מתחילות בהאקר גאון, אלא בסיסמה קצרה, צפויה או כזו שכבר דלפה מאתר אחר. מחולל הסיסמאות החזקות יוצר סיסמאות אקראיות באמת, או ביטויי סיסמה מכמה מילים, ומראה כמה כל אחת חזקה. הכול קורה בדפדפן, ושום דבר לא נשלח או נשמר.

מה הופך סיסמה לחזקה

החוזק של סיסמה הוא מספר הניחושים שצריך כדי למצוא אותה. בסיסמה אקראית הוא תלוי בשני דברים: האורך, ומספר התווים האפשריים בכל מקום. מודדים אותו בביטים של אנטרופיה, וכל ביט נוסף מכפיל את מספר הניחושים.

8 ספרות בלבד: כ-27 ביטים. נפרצת בפחות משנייה אצל מי שמחזיק עותק של מאגר סיסמאות שדלף.
12 תווים מכל הסוגים: כ-77 ביטים.
16 תווים מכל הסוגים: כ-103 ביטים, הרבה מעבר ליכולת של כל מחשב היום.

מה שלא עוזר: להחליף a ב-@ או להוסיף 1! בסוף מילה. תוכנות פיצוח מכירות את התרגילים האלה. לכן מד החוזק נכון רק לסיסמאות אקראיות כמו אלה שהכלי יוצר, ולא לסיסמה שממציאים לבד.

איך יוצרים סיסמה חזקה במחולל

בוחרים ״סיסמה״ או ״ביטוי סיסמה (מילים)״.
בסיסמה קובעים אורך בין 6 ל-64 תווים ובוחרים סוגי תווים: אותיות קטנות, גדולות, ספרות וסימנים. הכלי דואג שיופיע לפחות תו אחד מכל סוג שבחרתם.
מקלידים את הסיסמה ידנית? מסמנים ״בלי תווים שמתבלבלים ביניהם״, וכך לא יופיעו I, l, 1, O, 0 ו-o.
בוחרים כמה סיסמאות ליצור, עד 20, ומעתיקים את המתאימה בכפתור ״העתקה״ שלידה.
בכרטיס החוזק רואים את מספר הביטים ואת זמן הפיצוח הממוצע.

האקראיות מגיעה מ-crypto.getRandomValues, המחולל המאובטח שמובנה בדפדפן, ולא מ-Math.random. הסיסמאות לא נשמרות גם במכשיר, ונעלמות כשסוגרים את הדף.

ביטוי סיסמה: חזק וקל לזכירה

ביטוי סיסמה הוא רצף של מילים אקראיות, כמו Walrus-Fox-Valley-Tablet-Autumn-Delta7. קל יותר להקליד אותו בטלפון ולזכור אותו בעל פה, והוא מתאים במיוחד לסיסמה של המחשב, של מנהל הסיסמאות או של חשבון המייל. ברשימה האנגלית יש 370 מילים, וכל מילה מוסיפה כ-8.5 ביטים. שבע מילים וספרה נותנות כ-65 ביטים.

יש גם רשימה של 189 מילים עבריות בתעתיק לטיני, כמו shemesh, tapuach או gesher. היא קטנה יותר, ולכן כל מילה מוסיפה כ-7.6 ביטים, וכדאי להוסיף מילה או שתיים. אפשר לבחור מפריד (מקף, נקודה, קו תחתון, רווח או בלי) ולהחליט אם להגדיל את האות הראשונה.

הכוח של ביטוי הסיסמה בא מהבחירה האקראית. משפט שבוחרים לבד, כמו שורה משיר, חלש בהרבה.

הרגלים שחשובים יותר מכל סיסמה

סיסמה שונה לכל אתר. כשאתר אחד דולף, התוקפים מנסים את אותה סיסמה בכל השאר.
מנהל סיסמאות. הוא זוכר את כולן, ואתם זוכרים רק ביטוי סיסמה אחד חזק.
אימות דו-שלבי. קוד באפליקציה או במסרון חוסם את רוב הפריצות גם כשהסיסמה דלפה.
לא שולחים סיסמאות בוואטסאפ או במייל. אם אין ברירה, מחליפים אותן מיד אחרי השימוש הראשון.

כמה זמן באמת לוקח לפצח

זמן הפיצוח שבכרטיס החוזק מניח תוקף עם עשרה מיליארד ניסיונות בשנייה, קצב שמחשב עם כרטיסי מסך חזקים יכול להגיע אליו מול מאגר סיסמאות שדלף ונשמר בצורה חלשה. מול אתר חי הקצב נמוך בהרבה, כי אתרים חוסמים אחרי כמה ניסיונות כושלים. לכן המספר הוא תרחיש גרוע ולא תחזית. הכלל המעשי: לחשבונות רגילים מספיקים 60 ביטים ומעלה, כלומר 10 תווים מכל הסוגים או שבע מילים. למייל, לבנק ולמנהל הסיסמאות כדאי לשאוף ל-80 ביטים ומעלה, כלומר 13 תווים מכל הסוגים או תשע מילים מהרשימה האנגלית.