رمز عبور قوی بدون نویسه‌های خاص

چگونگی کار

مراحل انجام کار

1. الفبا را از به‌هم‌پیوستن کلاس‌های نویسهٔ روشن بسازید — ۲۶ حرف کوچک، ۲۶ حرف بزرگ، ۱۰ رقم و ۲۸ علامت نگارشی ASCII که دو نویسهٔ نقل‌قول، بک‌تیک و بک‌اسلش از آن کنار گذاشته شده‌اند.
2. اگر نویسه‌های شبیه به هم کنار گذاشته شده‌اند، پیش از هر کار دیگری I بزرگ، l کوچک، یک، خط عمودی (|)، صفر و O بزرگ را از آن الفبا حذف کنید.
3. حد رد را حساب کنید — بزرگ‌ترین مضرب صحیح اندازهٔ الفبا که از ۲۵۶ بزرگ‌تر نباشد. برای الفبای ۹۰تایی این حد ۱۸۰ است.
4. یک بایت از crypto.getRandomValues بردارید. اگر برابر یا بزرگ‌تر از حد است دورش بیندازید، چون تا کردن آن با باقی‌مانده، چند نویسهٔ اول الفبا را محتمل‌تر از بقیه می‌کند. در غیر این صورت نویسهٔ متناظر با باقی‌ماندهٔ آن بایت را بردارید.
5. تا رسیدن نامزد به طول درخواستی تکرار کنید.
6. اگر دست‌کم یکی از هر نوع لازم است و نامزد یک نوع را ندارد، کل نامزد را دور بیندازید و نامزد تازه‌ای بردارید. آن را با جایگزین کردن یک نویسه تعمیر نکنید، چون توزیعی می‌سازد که هیچ‌کس نمی‌تواند آنتروپی‌اش را بیان کند.
7. رمزهای عبوری را که این تنظیمات می‌توانند تولید کنند با اصل شمول و طرد روی کلاس‌ها بشمارید و لگاریتم پایهٔ ۲ آن شمار را به‌عنوان آنتروپی بر حسب بیت گزارش کنید.

فرض‌ها

• رقم آنتروپی مولد را توصیف می‌کند، نه رشته را. رشته‌ای از ۲۰ حرف کوچک دقیقاً به اندازهٔ هر برداشت دیگری با همان تنظیمات قوی است، چون مهاجم راهی ندارد بداند که چنین درآمده است.
• الزام دست‌کم یکی از هر نوع، تعداد رمزهایی را که مولد می‌تواند تولید کند کم می‌کند، پس آنتروپی را کاهش می‌دهد. این ابزار رقم کاهش‌یافته را گزارش می‌کند؛ بیشتر مولدها رقم بزرگ‌تر را.
• زمان حدس زدن ۱۰۰ میلیارد حدس در ثانیه را فرض می‌کند، که یک حملهٔ آفلاین با سخت‌افزار گرافیکی معمولی در برابر یک هش سریع و بدون salt است. رمز عبوری که با bcrypt یا Argon۲ ذخیره شده باشد چندین مرتبهٔ بزرگی کندتر حمله می‌شود و ورودِ با نرخ محدود باز هم کندتر است.
• زمان نشان‌داده‌شده میانگین است، نه بدترین حالت — نیمی از فضای جست‌وجو، یعنی دو به توان یک واحد کمتر از آنتروپی.
• دو نویسهٔ نقل‌قول، بک‌تیک و بک‌اسلش از مجموعهٔ نمادها کنار گذاشته شده‌اند، چون وقتی رمز عبور در یک دستور پوسته یا فایل JSON جای‌گذاری شود مشکل‌ساز می‌شوند. این حدود ۰٫۰۶ بیت در هر نویسه هزینه دارد.
• آنتروپی چیزی دربارهٔ استفادهٔ دوباره، فیشینگ یا نشت داده در سمت دیگر نمی‌گوید. یک رمز عبور بی‌نقص که در دو جا استفاده شود، یک رمز عبور است.

روش را Tessalor در ۸ مرداد ۱۴۰۵ نوشته و بررسی کرده است.