รหัสผ่านที่ซับซ้อน ล้าสมัย หรือไม่?

รหัสผ่านที่ซับซ้อนซึ่งใช้ตัวอักษรหลายตัวและเปลี่ยนบ่อยครั้งไม่ใช่แนวทางปฏิบัติที่ดีที่สุดในการจัดการรหัสผ่านอีกต่อไป ข้อมูลนี้ใช้แนวทางที่เพิ่งเผยแพร่ใหม่จากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา (NIST) ซึ่งพัฒนาและออกแนวทางเพื่อช่วยให้องค์กรต่างๆ ปกป้องระบบสารสนเทศ

เป็นเวลาหลายปีแล้วที่รหัสผ่านที่ซับซ้อน ซึ่งผสมผสานตัวอักษรพิมพ์ใหญ่และพิมพ์เล็ก ตัวเลข และสัญลักษณ์ ได้รับความนิยมจากผู้เชี่ยวชาญและผู้ให้บริการ เพราะเชื่อว่ารหัสผ่านดังกล่าวจะทำให้การคาดเดาหรือถอดรหัสรหัสผ่านทำได้ยากขึ้นผ่านการโจมตีแบบบรูทฟอร์ซ

อย่างไรก็ตาม การใช้รหัสผ่านที่ซับซ้อนนั้นไม่เกิดประโยชน์และยังทำให้ความปลอดภัยลดลงอีกด้วย รหัสผ่านที่ซับซ้อนทำให้ผู้ใช้มีนิสัยไม่ดี เช่น เลือกใช้รหัสผ่านที่ง่ายเกินไป หรือนำรหัสผ่านเก่ามาใช้ซ้ำ

ในแนวทางล่าสุด NIST แนะนำให้ใช้รหัสผ่านที่ยาวขึ้นแทนรหัสผ่านที่ซับซ้อน

สาเหตุแรกคือผู้ใช้มักประสบปัญหาในการจดจำรหัสผ่านที่ซับซ้อน ส่งผลให้ใช้รหัสผ่านที่มีกฎเกณฑ์ที่เดาง่าย หรือใช้รหัสผ่านเดียวกันสำหรับเว็บไซต์หลายแห่ง ยิ่งไปกว่านั้น องค์กรหลายแห่งยังกำหนดให้คุณเปลี่ยนรหัสผ่านทุกๆ 60 ถึง 90 วันอีกด้วย NIST ไม่แนะนำสิ่งนี้อีกต่อไป

ความแข็งแกร่งของรหัสผ่านมักวัดด้วยเอนโทรปี ซึ่งก็คือจำนวนการรวมกันที่เป็นไปได้ที่สามารถสร้างได้โดยใช้ตัวอักษรในรหัสผ่าน ยิ่งจำนวนชุดค่าผสมมากขึ้นเท่าไร การถอดรหัสผ่านโดยใช้กำลังหรือการเดาก็จะยิ่งทำได้ยากขึ้นเท่านั้น

ความยาวมีบทบาทสำคัญมากกว่าความซับซ้อนในการกำหนดจำนวนการรวมกันที่เป็นไปได้ รหัสผ่านที่ยาวขึ้นและมีอักขระมากขึ้นจะทำให้มีรูปแบบการรวมกันที่เป็นไปได้มากขึ้นแบบทวีคูณ

เหตุผลที่สองก็คือ รหัสผ่านที่ยาวและมีคำง่ายๆ มากมายนั้นจำง่ายกว่า ทำให้ผู้ใช้ไม่หันไปใช้วิธีการที่ไม่ปลอดภัย เช่น การจดรหัสผ่านเอาไว้หรือใช้ซ้ำ

นอกจากนี้ รหัสผ่านที่ยาว เนื่องจากมีรูปแบบการรวมกันที่เป็นไปได้จำนวนมาก ดังนั้นจึงทำให้อัลกอริทึมที่ซับซ้อนถอดรหัสได้ยากกว่ารหัสผ่านที่สั้นและซับซ้อน

ตัวอย่างเช่น การเปลี่ยนรหัสผ่านจาก 4 หลักเป็น 6 หลัก จะเพิ่มจำนวนชุดค่าผสมที่เป็นไปได้จาก 10,000 เป็น 1,000,000

NIST แนะนำให้ผู้ใช้สร้างรหัสผ่านที่มีความยาวไม่เกิน 64 อักขระ ในกรณีนั้น รหัสผ่านที่ใช้เฉพาะตัวอักษรพิมพ์เล็กและคำเท่านั้นจะถอดรหัสได้ยากมาก และหากมีตัวอักษรพิมพ์ใหญ่และสัญลักษณ์รวมอยู่ด้วย การถอดรหัสก็จะแทบจะเป็นไปไม่ได้ทางคณิตศาสตร์เลยทีเดียว