ความปลอดภัยรหัสผ่าน: วิธีสร้าง จัดเก็บและตรวจสอบรหัสผ่านที่แข็งแรง

การแนะนำ

พาสเวิร์ดอ่อน ใช้ซ้ำ และเก็บไม่ถูกต้องทำให้บัญชีถูกยึดส่วนใหญ่ คู่มือนี้แก้ปัญหาสี่ข้อ: (1) สร้างพาสเวิร์ดที่ entropy พอต้าน brute force, (2) hash ด้วย KDF ช้าแทน hash เร็ว, (3) หลีกเลี่ยงใช้ซ้ำ และ (4) audit credential ที่รั่ว

ทีละขั้นตอน

1. สร้างรหัสผ่านเอนโทรปีสูง

   ใช้เครื่องมือสร้างรหัสผ่านเพื่อสร้างรหัสผ่านที่มีอักขระ 16+ ตัว โดยผสมตัวเลขบน ล่าง ตัวเลข และสัญลักษณ์ เอนโทรปี = log2(charsetSize^length); ตัวอักษร 16 ตัวอักษรที่มีสัญลักษณ์ 94 ตัวให้ ~ 105 บิต ซึ่งเป็นไปไม่ได้ที่จะใช้กำลังดุร้ายแม้จะคาดเดา 10 ^ 12 ครั้ง / วินาที

2. อย่าใช้รหัสผ่านซ้ำในบริการต่างๆ

   การใช้รหัสผ่านเดียวซ้ำหมายถึงการละเมิดเพียงครั้งเดียวจะทำให้ทุกบัญชีที่แชร์รหัสผ่านนั้นเสียหาย สร้างรหัสผ่านที่ไม่ซ้ำกันต่อบริการและจัดเก็บไว้ในเครื่องมือจัดการรหัสผ่าน (Bitwarden, 1Password, KeePassXC) รหัสผ่านหลักเป็นรหัสผ่านเดียวที่คุณต้องจำ — ทำให้เป็นรหัสผ่านที่ยาว

3. แฮชรหัสผ่านด้วย KDF ที่ช้าบนเซิร์ฟเวอร์

   อย่าจัดเก็บรหัสผ่านด้วย MD5, SHA-1 หรือ SHA-256 แบบดิบ เนื่องจากเร็วเกินไป และ GPU สามารถลองได้หลายพันล้านต่อวินาที ใช้ bcrypt ที่มีปัจจัยการทำงาน 12+, เข้ารหัสด้วย N=2^17 หรือ Argon2id ที่มีหน่วยความจำ 64MB KDF เหล่านี้จงใจช้าและหน่วยความจำยากในการเอาชนะการโจมตีของ GPU/ASIC

4. ใช้เกลือเพื่อเอาชนะโต๊ะสายรุ้ง

   Salt คือค่าสุ่มที่ไม่ซ้ำกันต่อรหัสผ่าน ซึ่งเพิ่มหรือรวมกันก่อนที่จะแฮช ช่วยให้มั่นใจได้ว่ารหัสผ่านที่เหมือนกันจะสร้างแฮชที่แตกต่างกัน ทำให้ตารางสายรุ้งที่คำนวณไว้ล่วงหน้าไร้ประโยชน์ bcrypt และ Argon2 สร้างและฝังเกลือโดยอัตโนมัติ - อย่าม้วนเกลือของคุณเอง

5. ตรวจสอบรหัสผ่านที่ถูกละเมิด

   ก่อนที่จะยอมรับรหัสผ่าน ให้ตรวจสอบกับ Have I Been Pwned API โดยใช้โปรโตคอล k-anonymity: ส่งเฉพาะอักขระ 5 ตัวแรกของแฮช SHA-1 รับรายการส่วนต่อท้ายที่ตรงกัน และเปรียบเทียบในเครื่อง สิ่งนี้จะไม่เปิดเผยรหัสผ่านแบบเต็มให้กับ API

ตัวอย่าง

ปัญหาทั่วไป

• การใช้ MD5 หรือ SHA-256 สำหรับการแฮชรหัสผ่าน: ทั้งคู่เป็นการแฮชที่รวดเร็ว GPU สมัยใหม่คำนวณ ~10 พันล้าน SHA-256/s ถอดรหัสรหัสผ่าน 8 ตัวอักษรได้ในไม่กี่นาที ใช้ bcrypt, scrypt หรือ Argon2id เสมอ
• การใช้รหัสผ่านเดียวซ้ำทั่วทั้งไซต์: การละเมิดที่ไซต์ที่อ่อนแอที่สุดจะทำให้รหัสผ่านรั่วไหลสำหรับทุกไซต์ สร้างรหัสผ่านที่ไม่ซ้ำใครและจัดเก็บไว้ในผู้จัดการ
• การจัดเก็บรหัสผ่านในรูปแบบข้อความธรรมดาหรือการเข้ารหัสแบบย้อนกลับ: หากฐานข้อมูลรั่ว ทุกบัญชีจะถูกบุกรุกทันที การแฮชเป็นแบบทางเดียวและไม่สามารถย้อนกลับได้ แม้แต่เซิร์ฟเวอร์ก็ไม่สามารถกู้คืนไฟล์ต้นฉบับได้
• ปัจจัยการทำงานต่ำใน bcrypt: ราคา 4 ดีในปี 2545; ในปี 2569 ใช้ต้นทุน 12+ (ประมาณ 4,096 รอบ) แฮชอีกครั้งเมื่อเข้าสู่ระบบเพื่ออัปเกรดแฮชเก่าโดยไม่ต้องบังคับให้รีเซ็ตรหัสผ่าน

เคล็ดลับ

• ตั้งเป้าอย่างน้อย 100 บิตของเอนโทรปีสำหรับบัญชีที่มีมูลค่าสูง นั่นคืออักขระสุ่ม 16 ตัวจากตัวอักษรสัญลักษณ์ 94 ตัว หรือคำศัพท์ลูกเต๋าสุ่ม 6 คำ
• เปิดการตรวจสอบสิทธิ์แบบสองปัจจัย (TOTP หรือคีย์ฮาร์ดแวร์) สำหรับทุกบัญชีที่รองรับ รหัสผ่านที่รัดกุมเพียงอย่างเดียวอาจไม่เพียงพอหากรหัสผ่านถูกฟิชชิง
• ใช้ตัวเลือก 'ยกเว้นอักขระที่ไม่ชัดเจน' ของเครื่องมือสร้างรหัสผ่านของเรา (0/O, 1/l/I) เมื่อรหัสผ่านจะถูกอ่านออกเสียงหรือพิมพ์จากการพิมพ์
• หมุนเวียนรหัสผ่านหลังจากมีการละเมิดที่ได้รับการยืนยันแล้วเท่านั้น ไม่ใช่ตามกำหนดเวลาที่กำหนด การหมุนเวียนแบบบังคับจะทำให้ผู้ใช้ใช้รูปแบบที่คาดเดาได้ เช่น Spring2026!

เครื่องมือที่เกี่ยวข้อง

• Password ตัวสร้าง — สร้าง strong, random passwords with customizable length and character sets. Uses crypto.getRandomValues.
• Hash ตัวสร้าง — สร้าง SHA-256, SHA-1, SHA-512 and SHA-384 hashes from any text. Uses Web Crypto API, fully เป็นส่วนตัวทั้งหมด.
• UUID ตัวสร้าง — สร้าง random UUIDs (v4) ทันที ในเบราว์เซอร์ของคุณ. ไม่อัปโหลด, fully เป็นส่วนตัวทั้งหมด.
• Base64 Encode & Decode — เข้ารหัส and decode Base64 with UTF-8 support. ทันที, เป็นส่วนตัวทั้งหมด, browser-based. ไม่อัปโหลด, no signup.
• Random Number ตัวสร้าง — สร้าง random numbers within a range. Option for unique numbers. Up to 100 numbers at once.
• AES 256 Encrypt Decrypt online Free, Im browser — AES 256 Encrypt Decrypt online Free, Im browser ออนไลน์ฟรี. ประมวลผลข้อมูลทันทีในเบราว์เซอร์ของคุณ. ไม่อัปโหลด ไม่ต้องสมัครสมาชิก เป็นส่วนตัวทั้งหมด.
• AES text Encrypter ตัวถอดรหัส — AES text Encrypter ตัวถอดรหัส ออนไลน์ฟรี. ประมวลผลข้อมูลทันทีในเบราว์เซอร์ของคุณ. ไม่อัปโหลด ไม่ต้องสมัครสมาชิก เป็นส่วนตัวทั้งหมด.
• ASCII Table Reference — Browse the full ASCII table with decimal, hex, octal, and binary values in your browser. Free, online, no upload.

คำแนะนำที่เกี่ยวข้อง

• อัลกอริทึมแฮชอธิบายแล้ว: MD5, SHA-1, SHA-256, SHA-512
• วิธีเข้ารหัสและถอดรหัส Base64: คู่มือฉบับสมบูรณ์

อ้างอิง

• OWASP Password Storage Cheat Sheet — Industry-standard password hashing guidance
• NIST SP 800-63B —Digital Identity Guidelines — Official US government password guidance
• Have I Been Pwned —API — k-anonymity breach lookup API