เครื่องมือสร้างรหัสผ่าน

ความยาวรหัสผ่าน

16chars

ชุดอักขระที่รวม

สร้างแบบชุด

เครื่องมือสร้างรหัสผ่านออนไลน์ฟรี สร้างรหัสผ่านแข็งแรงสุ่ม วลีรหัสผ่านจำง่าย และ PIN ตัวเลขตามแหล่งสุ่มที่ปลอดภัย Web Crypto รองรับการตรวจสอบความแข็งแรง การแยกตัวอักษรที่สับสนง่าย การส่งออกเป็นชุด สร้างในเครื่องในเบราว์เซอร์ ไม่อัปโหลด

คำแนะนำที่เกี่ยวข้อง

เครื่องมือสร้างคีย์ PBKDF2

แฮช MD5

แฮช SHA-256

เครื่องมือตรวจสอบความแข็งแรงของรหัสผ่าน

เข้ารหัสและถอดรหัส AES

เครื่องมือสร้างรหัสผ่านปลอดภัยคืออะไร?

เครื่องมือสร้างรหัสผ่านคือเครื่องมือสำหรับสร้างรหัสผ่านสุ่มที่ไม่สามารถคาดเดาได้ แตกต่างจากรหัสผ่านที่มนุษย์ออกแบบ เครื่องมือสร้างรหัสผ่านที่แท้จริงใช้ **ตัวสร้างตัวเลขสุ่มเทียมที่ปลอดภัยทางการเข้ารหัส (CSPRNG)** เพื่อเลือกตัวอักษรแบบสุ่มจากกลุ่มตัวอักษรที่กำหนด หลีกเลี่ยงรูปแบบที่คาดเดาได้ซึ่งมีอยู่ตามธรรมชาติเมื่อมนุษย์ตั้งรหัสผ่าน (ชื่อ+วันเกิด ปุ่มต่อเนื่องบนแป้นพิมพ์เช่น qwerty ชื่อบริษัท+ปี ฯลฯ) ซึ่งจะช่วยลดความเสี่ยงจากการโจมตีแบบ credential stuffing การโจมตีด้วยพจนานุกรม และการแคร็กแบบ brute force ได้อย่างมาก

**ทำไมไม่สามารถใช้ Math.random()**: สถานะภายในของตัวสร้างตัวเลขสุ่มเทียมทั่วไปสามารถถูกคาดเดาย้อนกลับได้จากผลลัพธ์จำนวนเล็กน้อย ผู้โจมตีสามารถคาดเดาตัวเลข «สุ่ม» ที่สร้างขึ้นในภายหลังได้ เครื่องมือนี้ใช้ crypto.getRandomValues() จาก Web Crypto API ของเบราว์เซอร์ ซึ่งเรียกใช้ CSPRNG ระดับระบบปฏิบัติการในระดับล่าง (เช่น getrandom ของ Linux, SecRandomCopyBytes ของ macOS, BCryptGenRandom ของ Windows) ตัวเลขสุ่มที่สร้างขึ้นผ่านการทดสอบความสุ่มทางการเข้ารหัส ไม่สามารถคาดเดาได้

**แกนหลักของความแข็งแรงรหัสผ่านคือเอนโทรปี**: เอนโทรปี = log₂(ขนาดกลุ่มตัวอักษร^ความยาวรหัสผ่าน) หน่วยเป็น bit ตัวอย่างเช่น รหัสผ่าน 16 ตัวอักษรถูกเลือกแบบสุ่มจาก 94 ตัวอักษร ASCII ที่พิมพ์ได้ เอนโทรปีประมาณ 104 bit ซึ่งหมายความว่าผู้โจมตีโดยเฉลี่ยต้องลอง 2¹⁰³ ครั้งจึงจะพบรหัสผ่านที่ถูกต้อง — แม้จะลอง 1 ล้านล้านครั้งต่อวินาทีก็ต้องใช้เวลาประมาณ 200 พันล้านปี

**วลีรหัสผ่านจำง่าย (Passphrase)**: ประกอบด้วยคำหลายคำที่ถูกเลือกแบบสุ่ม (เช่น Brave-Cloud-Star42) แม้ว่าจะดู «เรียบง่าย» กว่ารหัสผ่านสุ่ม แต่ถ้าคำถูกเลือกแบบสุ่มอย่างแท้จริง เอนโทรปีรวมสามารถถึงมากกว่า 60 bit ซึ่งปลอดภัยเพียงพอสำหรับสถานการณ์ส่วนใหญ่ และจำได้ง่ายกว่ารหัสผ่านสุ่มที่มีความแข็งแรงเท่ากันมาก นี่ยังเป็นแนวคิดหลักของการ์ตูนคลาสสิก XKCD #936 และวิธีการ Diceware

**รหัสผ่านทั้งหมดถูกสร้างในเครื่องในเบราว์เซอร์** ไม่ส่งไปยังเซิร์ฟเวอร์ใดๆ เครื่องมือนี้ยังให้การตรวจสอบความแข็งแรง: การคำนวณเอนโทรปี การประเมินเวลาแคร็กแบบ brute force การตรวจจับรูปแบบรหัสผ่านอ่อนแอ (ตัวอักษรซ้ำ ตัวเลข/ตัวอักษรต่อเนื่อง การจับคู่กับรหัสผ่านอ่อนแอทั่วไป) ช่วยให้คุณเข้าใจความแข็งแรงความปลอดภัยที่แท้จริงของรหัสผ่านที่สร้างขึ้น

กรณีการใช้งาน

สร้างรหัสผ่านแข็งแรงสุ่มเมื่อลงทะเบียนบัญชีใหม่ ดูเอนโทรปีและเวลาแคร็ก เพื่อให้แน่ใจว่าบัญชีปลอดภัย
สร้างรหัสผ่านชั่วคราวเป็นชุดสำหรับทีมหรือสภาพแวดล้อมการทดสอบ แจกจ่ายได้อย่างรวดเร็ว
สร้างวลีรหัสผ่านจำง่ายสำหรับรหัสผ่าน Wi-Fi หรือรหัสผ่านอุปกรณ์ที่ต้องจำด้วยมือ
ตั้งค่า PIN อุปกรณ์ เริ่มต้นบัญชีผู้ดูแลระบบ หรือรีเซ็ตรหัสผ่าน
แทนที่รหัสผ่านอ่อนแอ แทนที่รหัสผ่านที่มนุษย์สร้างซึ่งคาดเดาง่ายด้วยรหัสผ่านสุ่มที่มีความเข้มแข็งสูง

วิธีการใช้งาน

เลือกโหมดรหัสผ่าน: รหัสผ่านสุ่ม วลีรหัสผ่านจำง่าย หรือ PIN ตัวเลข
ตั้งค่าความยาวรหัสผ่าน ตัวเลือกชุดตัวอักษร (แนะนำมากกว่า 16 ตัวอักษร) สามารถเปิดใช้การแยกตัวอักษรที่สับสนง่าย
ดูผลการตรวจสอบความแข็งแรง: เอนโทรปี การประเมินเวลาแคร็ก การตรวจจับรหัสผ่านอ่อนแอ
คัดลอกรหัสผ่านหรือส่งออกไฟล์ TXT เป็นชุดสำหรับการลงทะเบียน รีเซ็ต หรือแจกจ่าย

คุณสมบัติ

การสร้างสุ่มที่ปลอดภัย: อาศัยแหล่งสุ่มที่ปลอดภัยทางการเข้ารหัสของ Web Crypto API (crypto.getRandomValues) ของเบราว์เซอร์ สร้างรหัสผ่านสุ่มที่ไม่สามารถคาดเดาได้
โหมดรหัสผ่าน 3 แบบ: รองรับ 3 โหมด: รหัสผ่านสุ่ม วลีรหัสผ่านจำง่าย (ชุดคำ) และ PIN ตัวเลข ครอบคลุมระดับความปลอดภัยที่แตกต่างกัน
การตรวจสอบความแข็งแรงที่สมบูรณ์: ดูขนาดกลุ่มตัวอักษร การคำนวณเอนโทรปี การตรวจจับการจับคู่รหัสผ่านอ่อนแอ ความเสี่ยงของตัวอักษรซ้ำ/ต่อเนื่อง การประเมินเวลาแคร็กแบบ brute force
แยกตัวอักษรที่สับสนง่าย: สามารถแยกตัวอักษรที่สับสนง่ายเช่น 0/O/1/l/I เหมาะสำหรับสถานการณ์ป้อนด้วยมือ พูดทางโทรศัพท์
สร้างและส่งออกเป็นชุด: รองรับการสร้างชุด 5/10/20 รหัสผ่าน ดาวน์โหลด TXT ในคลิกเดียว สะดวกสำหรับการแจกจ่ายทีมและการเริ่มต้นสภาพแวดล้อมการทดสอบ
สร้างในเครื่องไม่อัปโหลด: รหัสผ่านทั้งหมดถูกสร้างในเครื่องในเบราว์เซอร์ ไม่ส่งไปยังเซิร์ฟเวอร์ใดๆ

รหัสผ่านสุ่ม vs วลีรหัสผ่านจำง่าย vs PIN ตัวเลข: ควรเลือกอะไร?

โหมดรหัสผ่าน 3 แบบ ต่างมีข้อดีข้อเสีย เลือกโหมดผิดจะทำให้จำไม่ได้ ถูกขโมยได้ง่าย หรือไม่เหมาะกับสถานการณ์ การเลือกตามหลัก 'ใครจำ ใครป้อน ใครจัดเก็บ' จะช่วยหลีกเลี่ยงการเดินทางอ้อมมากมาย

โหมด	คำถามทั่วไปในการเลือก	ความแข็งแรงของความปลอดภัย	ความสะดวกในการใช้งาน	ผู้ใช้ทั่วไป
รหัสผ่านสุ่ม	「ฉันไม่เคยพิมพ์เอง ให้ตัวจัดการรหัสผ่านเติมอัตโนมัติ」	สูง (16 ตัวอักษร สามารถเข้าถึง ~104 bit)	แย่ (จำไม่ได้ ต้องใช้ตัวจัดการรหัสผ่าน)	อีเมลหลัก ธนาคาร บัญชีโซเชียล คีย์ API
วลีรหัสผ่านจำง่าย	「ฉันต้องสามารถบอกด้วยปากเปล่า พิมพ์ด้วยมือ และมีความปลอดภัยเพียงพอ」	ปานกลาง-สูง (คำ Diceware 5-6 คำ ≈ 64-77 bit)	ดี (มนุษย์อ่านได้ ออกเสียงได้)	รหัสผ่านหลัก Wi-Fi รหัสผ่านที่ต้องป้อนข้ามอุปกรณ์
PIN ตัวเลข	「ใช้เพียง 0-9 เนื่องจากข้อจำกัดของอุปกรณ์」	ต่ำ (6 ตัวเลข มีเพียง ~20 bit, 10 ตัวเลข ก็มีเพียง ~33 bit)	ดี (แป้นตัวเลขสามารถป้อนได้)	หน้าจอล็อกอุปกรณ์ PIN บัตรธนาคาร รหัสยืนยันแบบใช้ครั้งเดียว

Best Practices

หลังสร้างแล้วให้บันทึกลงตัวจัดการรหัสผ่านทันที อย่าปล่อยให้ค้างอยู่บนหน้าจอนานเกินไป

รหัสผ่านที่แข็งแรงที่สร้างใหม่อยู่ในสถานะ 'ข้อความธรรมดาทั้งหมด' การค้างอยู่ในคลิปบอร์ด หน้าจอ ประวัติเบราว์เซอร์ ล้วนเป็นจุดเสี่ยง สร้าง → กรอกในเว็บเป้าหมายทันที → ล้างคลิปบอร์ด อย่าแทรกงานอื่นระหว่างสามขั้นตอน **ห้ามเด็ดขาด** บันทึกภาพหน้าจอของรหัสผ่านที่สร้างลงในอัลบั้ม ยิ่งไปกว่านั้น ห้ามเขียนลงกระดาษแล้วถ่ายรูปส่งให้ผู้อื่น รหัสผ่านของเครื่องมือนี้มีอยู่เฉพาะในหน้าปัจจุบันเท่านั้น จะหายไปหลังจากรีเฟรชหรือปิดหน้า โปรดเตรียมตำแหน่งจัดเก็บก่อนคลิกสร้าง

รหัสผ่านที่สร้างจะถูกอัปโหลดไปยังเซิร์ฟเวอร์หรือไม่?

รหัสผ่านหลักใช้ 'วลีรหัสผ่านจำง่ายที่ยาว' บัญชีอื่นใช้รหัสผ่านสุ่ม 16-20 ตัวอักษร

กลยุทธ์แบบแบ่งชั้น: รหัสผ่านหลัก (ปลดล็อกตัวจัดการรหัสผ่าน) ต้องจำได้โดยมนุษย์และมีความแข็งแรงเพียงพอ → เลือกวลีรหัสผ่านจำง่าย Diceware 5-6 คำ เว็บไซต์/บริการอื่น 99% ใช้รหัสผ่านสุ่ม 16-20 ตัวอักษร + การเติมอัตโนมัติของตัวจัดการรหัสผ่าน **ห้าม** ใช้วลีรหัสผ่านจำง่ายสำหรับทุกเว็บไซต์ (จำยาก อ่อนแอลงง่าย) และ **ห้าม** ใช้รหัสผ่านสุ่มสำหรับรหัสผ่านหลัก (คุณจะเขียนมันลง ความปลอดภัยเป็นศูนย์) นี่คือแนวคิดแบ่งชั้นหลักของการจัดการรหัสผ่าน

รหัสผ่านต้องยาวเท่าไหร่ถึงจะปลอดภัย?รหัสผ่านสุ่มกับวลีรหัสผ่านจำง่าย อันไหนปลอดภัยกว่า?

ยกเว้นตัวอักษรที่สับสนง่ายเฉพาะเมื่อต้องป้อนด้วยมือ

การยกเว้นตัวอักษรที่สับสนง่ายเช่น 0/O/1/l/I จะลดขนาดกลุ่มตัวอักษรอย่างมาก (ที่ความยาวเดียวกัน เอนโทรปีจะลดลง 5-10 bit) **เฉพาะเมื่อต้องป้อนด้วยมือ บอกปากเปล่าทางโทรศัพท์ หรือพิมพ์เพื่อแจกจ่าย** จึงแนะนำให้เปิด หากรหัสผ่านใช้ในตัวจัดการรหัสผ่านเท่านั้น เก็บตัวอักษรที่พิมพ์ได้ทั้งหมดจะได้เอนโทรปีที่สูงกว่า วิธีการตัดสินใจง่ายๆ: 'รหัสผ่านนี้จะต้องพิมพ์ด้วยนิ้วมือเมื่อใดหรือไม่?' — ต้องก็ยกเว้น ไม่ต้องก็อย่ายกเว้น

ทำไมต้องแยกตัวอักษรที่สับสนง่าย (0/O/1/l/I)?

การสร้างเป็นชุดใช้สำหรับสถานการณ์การทดสอบ/การแจกจ่ายเท่านั้น อย่าใช้วิธีเดียวกันกับบัญชีจริง

เวิร์กโฟลว์การสร้างรหัสผ่าน 5/10/20 ตัวเป็นชุด เหมาะสำหรับเป็นหลัก: การเริ่มต้นสภาพแวดล้อมการทดสอบ การแจกจ่ายบัญชีชั่วคราว การสร้างรหัสเชิญ การส่งออกคีย์ API แบบใช้ครั้งเดียว **อย่า** นำผลลัพธ์จากการสร้างเป็นชุดกลับมาใช้กับบัญชีจริงของคุณ — รหัสผ่านที่สร้างเป็นชุดมักถูกสร้างตามกฎเดียวกัน ลักษณะเด่นชัด (ชุดตัวอักษร ความยาว ประเภทตัวสร้าง) เมื่อบัญชีใดบัญชีหนึ่งรั่วไหล ผู้โจมตีสามารถเดาความแตกต่างเชิงโครงสร้างของรหัสผ่านชุดอื่นได้ รหัสผ่านของบัญชีจริงโปรดสร้างและจัดเก็บแยกต่างหาก

สร้างในเครื่อง ไม่อัปโหลด

รหัสผ่านใหม่ต้องใช้ร่วมกับ 2FA จึงจะปลอดภัยอย่างแท้จริง

ไม่ว่ารหัสผ่านจะแข็งแรงเพียงใด ก็ไร้ความสามารถต่อฟิชชิง คีย์ล็อกเกอร์ การรั่วไหลของฐานข้อมูลรหัสผ่าน คนภายในของผู้ให้บริการโทรคมนาคม **บัญชีสำคัญใดๆ (อีเมล ธนาคาร โซเชียล ที่เก็บข้อมูลบนคลาวด์) ต้องเปิดใช้การยืนยันตัวตนสองขั้นตอน (2FA)** TOTP (Google Authenticator / Authy) > คีย์ฮาร์ดแวร์ (YubiKey) > SMS **หลีกเลี่ยงการใช้ 2FA ผ่าน SMS** (การโจมตีแบบสลับ SIM สามารถหลีกเลี่ยงได้) รหัสผ่านที่แข็งแรง + 2FA + ตัวจัดการรหัสผ่าน ทั้งสามต้องมีครบ 2FA เป็นเกราะป้องกันสุดท้ายหลังจากรหัสผ่านรั่วไหล

NIST SP 800-63B - แนวทางการยืนยันตัวตนดิจิทัล

รหัสผ่านที่รั่วไหลแล้ว ตรวจสอบกับ HIBP ก่อนตัดสินใจรีเซ็ต

เมื่อสงสัยว่ารหัสผ่านรั่วไหล (เห็นข่าวว่าเว็บไซต์ถูกแฮ็ก ได้รับอีเมลฟิชชิง ฯลฯ) อย่ารีบเปลี่ยนรหัสผ่านทันที — ใช้ Pwned Passwords API ของ Have I Been Pwned (HIBP) ตรวจสอบก่อนว่ารหัสผ่านนี้ปรากฏในฐานข้อมูลการรั่วไหลจริงหรือไม่ HIBP ให้บริการ k-anonymity API เครื่องมือนี้อาจพิจารณาการบูรณาการในอนาคต ขณะนี้คุณสามารถไปที่ haveibeenpwned.com/Passwords ด้วยตนเอง ใช้อักษร SHA-1 5 ตัวแรกเพื่อสอบถาม หากยืนยันว่าอยู่ในฐานข้อมูลแล้วจึงจำเป็นต้องเปลี่ยนโดยด่วน รหัสผ่านที่ไม่รั่วไหล ไม่จำเป็นต้องเปลี่ยนเพื่อ 'ความสบายใจ' (NIST ไม่แนะนำให้เปลี่ยนรหัสผ่านเป็นประจำอีกต่อไป)

Have I Been Pwned - ตรวจสอบรหัสผ่านรั่วไหล

คำถามที่พบบ่อย

ทำไมต้องใช้ Web Crypto API แทน Math.random()?

Math.random() เป็นตัวสร้างตัวเลขสุ่มเทียมทั่วไป ไม่ได้ออกแบบมาสำหรับสถานการณ์ความปลอดภัย สถานะภายในอาจถูกคาดเดาย้อนกลับได้ crypto.getRandomValues() ใช้แหล่งสุ่มที่ปลอดภัยทางการเข้ารหัส (CSPRNG) ของระบบปฏิบัติการ สร้างตัวเลขสุ่มที่ไม่สามารถคาดเดาได้ เหมาะสำหรับสถานการณ์ความปลอดภัยเช่น รหัสผ่าน คีย์

รหัสผ่านที่สร้างขึ้นจะถูกอัปโหลดไปยังเซิร์ฟเวอร์หรือไม่?

ไม่ รหัสผ่านทั้งหมดถูกสร้างในเครื่องในเบราว์เซอร์ การวิเคราะห์ความแข็งแรง การคำนวณเอนโทรปี และการประเมินเวลาแคร็กก็ทำในเครื่องทั้งหมดเช่นกัน เปิดแผงเครือข่ายของเครื่องมือพัฒนาสามารถตรวจสอบได้ว่าไม่มีคำขอเครือข่ายภายนอก

รหัสผ่านยาวเท่าไหร่ถึงจะปลอดภัย?

แนะนำอย่างน้อย 12 ตัวอักษรที่ประกอบด้วยตัวพิมพ์ใหญ่+ตัวพิมพ์เล็ก+ตัวเลข+สัญลักษณ์ รหัสผ่านสุ่ม 16 ตัวอักษรต้องใช้หลายร้อยล้านปีในการแคร็กแบบ brute force ด้วยพลังการคำนวณสมัยใหม่ ทุกครั้งที่เพิ่มความยาวขึ้นหนึ่งตัวอักษร พื้นที่การค้นหาจะเพิ่มขึ้นแบบทวีคูณ อ้างอิงตารางเวลาแคร็กข้างต้น

รหัสผ่านสุ่มหรือวลีรหัสผ่านจำง่าย อันไหนปลอดภัยกว่า?

ด้วยความยาวเท่ากัน รหัสผ่านสุ่มมีเอนโทรปีสูงกว่า แต่วลีรหัสผ่านจำง่าย (ประกอบด้วยคำสุ่ม 4-6 คำ) ก็มีเอนโทรปีรวมที่สูงเพียงพอ (มากกว่า ~60bit) และจำได้ง่ายกว่า เหมาะสำหรับสถานการณ์ที่ต้องป้อนด้วยมือ จุดสำคัญคือคำต้องถูกเลือกแบบสุ่มอย่างแท้จริง ไม่ใช่วลีที่คุณคิดขึ้นเอง

ทำไมต้องแยกตัวอักษรที่สับสนง่าย (0/O/1/l/I)?

ตัวอักษรเหล่านี้ยากที่จะแยกแยะในฟอนต์บางชนิด ง่ายต่อการทำให้เกิดข้อผิดพลาดในการป้อน หากรหัสผ่านต้องป้อนด้วยมือ พูดทางโทรศัพท์ หรือพิมพ์เพื่อแจกจ่าย แนะนำให้เปิดใช้ตัวเลือกการแยก หากใช้โดยตัวจัดการรหัสผ่านเท่านั้น การเก็บตัวอักษรทั้งหมดจะได้รับเอนโทรปีที่สูงขึ้น

การเปลี่ยนรหัสผ่านเป็นระยะปลอดภัยกว่าหรือไม่?

แนวทางล่าสุดของ NIST (SP 800-63B) ไม่แนะนำให้เปลี่ยนรหัสผ่านเป็นระยะอีกต่อไป เว้นแต่จะยืนยันว่ารหัสผ่านรั่วไหล การบังคับเปลี่ยนเป็นระยะกลับทำให้ผู้ใช้เลือกรหัสผ่านอ่อนแอหรือเขียนไว้ วิธีที่ดีกว่าคือ: ใช้รหัสผ่านสุ่มยาว + ตัวจัดการรหัสผ่าน + เปิดใช้การยืนยันตัวตนสองขั้นตอน (2FA)

เอนโทรปีรหัสผ่านคืออะไร?

เอนโทรปีวัดความไม่สามารถคาดเดาได้ของรหัสผ่าน หน่วยเป็น bit เอนโทรปี = log₂(ขนาดกลุ่มตัวอักษร^ความยาวรหัสผ่าน) ตัวอย่างเช่น รหัสผ่าน 16 ตัวอักษรถูกเลือกแบบสุ่มจาก 94 ตัวอักษร ASCII ที่พิมพ์ได้ เอนโทรปีคือ log₂(94¹⁶) ≈ 104 bit ยิ่งเอนโทรปีสูงเท่าไหร่ การแคร็กแบบ brute force ก็ยิ่งยากเท่านั้น

อภิธานศัพท์

CSPRNG (ตัวสร้างตัวเลขสุ่มเทียมที่ปลอดภัยทางการเข้ารหัส): Cryptographically Secure Pseudo-Random Number Generator ตัวสร้างตัวเลขสุ่มที่ผ่านการทดสอบความสุ่มทางการเข้ารหัสที่เข้มงวด ผลลัพธ์ไม่สามารถคาดเดาได้ แม้ว่าผู้โจมตีจะทราบผลลัพธ์ในอดีตจำนวนมากก็ไม่สามารถอนุมานผลลัพธ์ในภายหลังได้ Web Crypto API ของเบราว์เซอร์ใช้ CSPRNG ในระดับล่าง
เอนโทรปีรหัสผ่าน: ตัวบ่งชี้ที่วัดความไม่สามารถคาดเดาได้ของรหัสผ่าน หน่วยเป็น bit สูตรการคำนวณ: เอนโทรปี = log₂(N^L) โดย N คือขนาดกลุ่มตัวอักษร L คือความยาวรหัสผ่าน ยิ่งเอนโทรปีสูงเท่าไหร่ การแคร็กแบบ brute force ก็ยิ่งยากเท่านั้น โดยทั่วไปมากกว่า 60 bit ถือว่าปลอดภัย มากกว่า 100 bit ถือว่าแข็งแรงมาก
การโจมตีแบบ Brute Force: วิธีการโจมตีที่ลองชุดค่าผสมตัวอักษรที่เป็นไปได้ทั้งหมดเพื่อคาดเดารหัสผ่าน วิธีการป้องกันคือการใช้รหัสผ่านสุ่มที่ยาวเพียงพอ ทำให้จำนวนชุดค่าผสมมีขนาดใหญ่จนไม่สามารถนับได้ทางกายภาพ
การโจมตีด้วยพจนานุกรม (Dictionary Attack): วิธีการโจมตีที่ใช้รายการรหัสผ่านทั่วไป (เช่น 123456, password, qwerty ฯลฯ) เพื่อคาดเดา มีประสิทธิภาพมากกว่าการโจมตีแบบ brute force อย่างมาก เนื่องจากผู้ใช้ส่วนใหญ่ใช้รหัสผ่านอ่อนแอทั่วไป รหัสผ่านที่สร้างแบบสุ่มมีภูมิคุ้มกันตามธรรมชาติต่อการโจมตีด้วยพจนานุกรม
การโจมตีแบบ Credential Stuffing: การใช้ชื่อผู้ใช้และรหัสผ่านที่รั่วไหลจากเว็บไซต์หนึ่งเพื่อพยายามเข้าสู่ระบบเว็บไซต์อื่น วิธีการป้องกันคือการใช้รหัสผ่านที่ไม่ซ้ำกันสำหรับแต่ละเว็บไซต์และตรวจสอบว่ารหัสผ่านรั่วไหลผ่าน Have I Been Pwned
วลีรหัสผ่านจำง่าย (Passphrase): รหัสผ่าน/วลีรหัสผ่านที่ประกอบด้วยคำสุ่มหลายคำ เมื่อเปรียบเทียบกับรหัสผ่านตัวอักษรสุ่ม วลีคำจะจำได้ง่ายกว่า เมื่อจำนวนคำมากเพียงพอ เอนโทรปีก็สูงเช่นกัน Diceware เป็นวิธีการสร้างวลีรหัสผ่านจำง่ายที่มีชื่อเสียงที่สุด ใช้ลูกเต๋าเพื่อเลือกแบบสุ่มจากรายการ 7772 คำ
Diceware: วิธีการสร้างวลีรหัสผ่านที่คิดค้นโดย Arnold Reinhold ในปี 1995 ใช้ลูกเต๋า 5 ลูกเพื่อกำหนดคำหนึ่งคำ (เลือกจากรายการ 7776 คำ) คำ Diceware 6 คำมีเอนโทรปีประมาณ 77 bit ความปลอดภัยเพียงพอที่จะต้านทานการโจมตีแบบ brute force
NIST SP 800-63B: แนวทางการรับรองความถูกต้องของเอกลักษณ์ดิจิทัลที่ออกโดยสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐอเมริกา เป็นเอกสารอ้างอิงที่มีอำนาจที่สุดในด้านความปลอดภัยรหัสผ่าน หลังจากอัปเดตในปี 2017 ไม่แนะนำให้เปลี่ยนรหัสผ่านเป็นระยะอีกต่อไป ไม่บังคับให้ใช้อักขระพิเศษอีกต่อไป แต่เน้นที่ความยาวรหัสผ่าน การตรวจจับบัญชีดำ และการรับรองความถูกต้องหลายปัจจัยแทน
การยืนยันตัวตนสองขั้นตอน (2FA/MFA): ต้องใช้วิธีการยืนยันตัวตนที่สองนอกเหนือจากรหัสผ่าน (เช่น รหัสยืนยันทางโทรศัพท์ TOTP คีย์ฮาร์ดแวร์) แม้ว่ารหัสผ่านจะรั่วไหลก็สามารถปกป้องความปลอดภัยของบัญชีได้ NIST แนะนำให้เปิดใช้ 2FA สำหรับบัญชีสำคัญทั้งหมด
บัญชีดำรหัสผ่านอ่อนแอ: รายการรหัสผ่านที่รั่วไหลสู่สาธารณะ พบบ่อยมาก หรือมีรูปแบบที่คาดเดาได้ เช่น 123456, password, admin, qwerty ฯลฯ NIST แนะนำให้ตรวจสอบว่าอยู่ในบัญชีดำหรือไม่เมื่อลงทะเบียนและเปลี่ยนรหัสผ่าน

การประเมินความยาวรหัสผ่านและเวลาแคร็ก (ตัวพิมพ์ใหญ่+ตัวพิมพ์เล็ก+ตัวเลข+สัญลักษณ์)

ความยาวรหัสผ่าน	เอนโทรปี(bit)	จำนวนชุดค่าผสม	เวลาแคร็กแบบ brute force (1 ล้านล้านครั้ง/วินาที)	ระดับความปลอดภัย
`6 ตัวอักษร`	`~37`	ประมาณ 139 พันล้าน	< 1 วินาที	❌ อ่อนแอมาก
`8 ตัวอักษร`	`~52`	ประมาณ 2.2×10¹⁴	ประมาณ 2.5 วัน	❌ อ่อนแอ
`10 ตัวอักษร`	`~65`	ประมาณ 3.7×10¹⁸	ประมาณ 116 ปี	⚠️ ปานกลาง
`12 ตัวอักษร`	`~78`	ประมาณ 6.1×10²²	ประมาณ 1.93 ล้านปี	✅ แข็งแรง
`16 ตัวอักษร`	`~104`	ประมาณ 6.3×10³⁰	ประมาณ 200 พันล้านปี	✅✅ แข็งแรงมาก
`20 ตัวอักษร`	`~131`	ประมาณ 6.7×10³⁸	หลายพันล้านเท่าของอายุจักรวาล	✅✅✅ ไม่สามารถแคร็กได้

การเปรียบเทียบโหมดรหัสผ่าน 3 แบบ

โหมด	ตัวอย่างรูปแบบ	เอนโทรปีโดยทั่วไป	ความสามารถในการจำ	กรณีที่แนะนำ
รหัสผ่านสุ่ม	`xK9#mP2$vL8@nQ4!`	~6.5bit/ตัวอักษร	แย่	รหัสผ่านหลักสำหรับตัวจัดการรหัสผ่าน รหัสผ่านฐานข้อมูล คีย์ API
วลีรหัสผ่านจำง่าย	`Brave-Cloud-Star42`	~10bit/คำ	ดี	รหัสผ่าน Wi-Fi รหัสผ่านเข้าสู่ระบบที่ต้องจำด้วยมือ
PIN ตัวเลข	`482917`	3.3bit/ตัวเลข	ดี	หน้าจอล็อกอุปกรณ์ PIN บัตรธนาคาร รหัสยืนยันแบบใช้ครั้งเดียว

เครื่องมือสร้างรหัสผ่าน

คำแนะนำที่เกี่ยวข้อง

เครื่องมือสร้างคีย์ PBKDF2

แฮช MD5

แฮช SHA-256

เครื่องมือตรวจสอบความแข็งแรงของรหัสผ่าน

เข้ารหัสและถอดรหัส AES

เครื่องมือสร้างรหัสผ่านปลอดภัยคืออะไร?

กรณีการใช้งาน

วิธีการใช้งาน

คุณสมบัติ

รหัสผ่านสุ่ม vs วลีรหัสผ่านจำง่าย vs PIN ตัวเลข: ควรเลือกอะไร?

Best Practices

หลังสร้างแล้วให้บันทึกลงตัวจัดการรหัสผ่านทันที อย่าปล่อยให้ค้างอยู่บนหน้าจอนานเกินไป

รหัสผ่านหลักใช้ 'วลีรหัสผ่านจำง่ายที่ยาว' บัญชีอื่นใช้รหัสผ่านสุ่ม 16-20 ตัวอักษร

ยกเว้นตัวอักษรที่สับสนง่ายเฉพาะเมื่อต้องป้อนด้วยมือ

การสร้างเป็นชุดใช้สำหรับสถานการณ์การทดสอบ/การแจกจ่ายเท่านั้น อย่าใช้วิธีเดียวกันกับบัญชีจริง

รหัสผ่านใหม่ต้องใช้ร่วมกับ 2FA จึงจะปลอดภัยอย่างแท้จริง

รหัสผ่านที่รั่วไหลแล้ว ตรวจสอบกับ HIBP ก่อนตัดสินใจรีเซ็ต

คำถามที่พบบ่อย

ทำไมต้องใช้ Web Crypto API แทน Math.random()?

รหัสผ่านที่สร้างขึ้นจะถูกอัปโหลดไปยังเซิร์ฟเวอร์หรือไม่?

รหัสผ่านยาวเท่าไหร่ถึงจะปลอดภัย?

รหัสผ่านสุ่มหรือวลีรหัสผ่านจำง่าย อันไหนปลอดภัยกว่า?

ทำไมต้องแยกตัวอักษรที่สับสนง่าย (0/O/1/l/I)?

การเปลี่ยนรหัสผ่านเป็นระยะปลอดภัยกว่าหรือไม่?

เอนโทรปีรหัสผ่านคืออะไร?

อภิธานศัพท์

การประเมินความยาวรหัสผ่านและเวลาแคร็ก (ตัวพิมพ์ใหญ่+ตัวพิมพ์เล็ก+ตัวเลข+สัญลักษณ์)

การเปรียบเทียบโหมดรหัสผ่าน 3 แบบ

Authoritative References