เครื่องมือสร้างรหัสผ่านออนไลน์ฟรี สร้างรหัสผ่านแข็งแรงสุ่ม วลีรหัสผ่านจำง่าย และ PIN ตัวเลขตามแหล่งสุ่มที่ปลอดภัย Web Crypto รองรับการตรวจสอบความแข็งแรง การแยกตัวอักษรที่สับสนง่าย การส่งออกเป็นชุด สร้างในเครื่องในเบราว์เซอร์ ไม่อัปโหลด
Math.random() เป็นตัวสร้างตัวเลขสุ่มเทียมทั่วไป ไม่ได้ออกแบบมาสำหรับสถานการณ์ความปลอดภัย สถานะภายในอาจถูกคาดเดาย้อนกลับได้ crypto.getRandomValues() ใช้แหล่งสุ่มที่ปลอดภัยทางการเข้ารหัส (CSPRNG) ของระบบปฏิบัติการ สร้างตัวเลขสุ่มที่ไม่สามารถคาดเดาได้ เหมาะสำหรับสถานการณ์ความปลอดภัยเช่น รหัสผ่าน คีย์
ไม่ รหัสผ่านทั้งหมดถูกสร้างในเครื่องในเบราว์เซอร์ การวิเคราะห์ความแข็งแรง การคำนวณเอนโทรปี และการประเมินเวลาแคร็กก็ทำในเครื่องทั้งหมดเช่นกัน เปิดแผงเครือข่ายของเครื่องมือพัฒนาสามารถตรวจสอบได้ว่าไม่มีคำขอเครือข่ายภายนอก
แนะนำอย่างน้อย 12 ตัวอักษรที่ประกอบด้วยตัวพิมพ์ใหญ่+ตัวพิมพ์เล็ก+ตัวเลข+สัญลักษณ์ รหัสผ่านสุ่ม 16 ตัวอักษรต้องใช้หลายร้อยล้านปีในการแคร็กแบบ brute force ด้วยพลังการคำนวณสมัยใหม่ ทุกครั้งที่เพิ่มความยาวขึ้นหนึ่งตัวอักษร พื้นที่การค้นหาจะเพิ่มขึ้นแบบทวีคูณ อ้างอิงตารางเวลาแคร็กข้างต้น
ด้วยความยาวเท่ากัน รหัสผ่านสุ่มมีเอนโทรปีสูงกว่า แต่วลีรหัสผ่านจำง่าย (ประกอบด้วยคำสุ่ม 4-6 คำ) ก็มีเอนโทรปีรวมที่สูงเพียงพอ (มากกว่า ~60bit) และจำได้ง่ายกว่า เหมาะสำหรับสถานการณ์ที่ต้องป้อนด้วยมือ จุดสำคัญคือคำต้องถูกเลือกแบบสุ่มอย่างแท้จริง ไม่ใช่วลีที่คุณคิดขึ้นเอง
ตัวอักษรเหล่านี้ยากที่จะแยกแยะในฟอนต์บางชนิด ง่ายต่อการทำให้เกิดข้อผิดพลาดในการป้อน หากรหัสผ่านต้องป้อนด้วยมือ พูดทางโทรศัพท์ หรือพิมพ์เพื่อแจกจ่าย แนะนำให้เปิดใช้ตัวเลือกการแยก หากใช้โดยตัวจัดการรหัสผ่านเท่านั้น การเก็บตัวอักษรทั้งหมดจะได้รับเอนโทรปีที่สูงขึ้น
แนวทางล่าสุดของ NIST (SP 800-63B) ไม่แนะนำให้เปลี่ยนรหัสผ่านเป็นระยะอีกต่อไป เว้นแต่จะยืนยันว่ารหัสผ่านรั่วไหล การบังคับเปลี่ยนเป็นระยะกลับทำให้ผู้ใช้เลือกรหัสผ่านอ่อนแอหรือเขียนไว้ วิธีที่ดีกว่าคือ: ใช้รหัสผ่านสุ่มยาว + ตัวจัดการรหัสผ่าน + เปิดใช้การยืนยันตัวตนสองขั้นตอน (2FA)
เอนโทรปีวัดความไม่สามารถคาดเดาได้ของรหัสผ่าน หน่วยเป็น bit เอนโทรปี = log₂(ขนาดกลุ่มตัวอักษร^ความยาวรหัสผ่าน) ตัวอย่างเช่น รหัสผ่าน 16 ตัวอักษรถูกเลือกแบบสุ่มจาก 94 ตัวอักษร ASCII ที่พิมพ์ได้ เอนโทรปีคือ log₂(94¹⁶) ≈ 104 bit ยิ่งเอนโทรปีสูงเท่าไหร่ การแคร็กแบบ brute force ก็ยิ่งยากเท่านั้น
เครื่องมือสร้างรหัสผ่านคือเครื่องมือสำหรับสร้างรหัสผ่านสุ่มที่ไม่สามารถคาดเดาได้ แตกต่างจากรหัสผ่านที่มนุษย์ออกแบบ เครื่องมือสร้างรหัสผ่านที่แท้จริงใช้ **ตัวสร้างตัวเลขสุ่มเทียมที่ปลอดภัยทางการเข้ารหัส (CSPRNG)** เพื่อเลือกตัวอักษรแบบสุ่มจากกลุ่มตัวอักษรที่กำหนด หลีกเลี่ยงรูปแบบที่คาดเดาได้ซึ่งมีอยู่ตามธรรมชาติเมื่อมนุษย์ตั้งรหัสผ่าน (ชื่อ+วันเกิด ปุ่มต่อเนื่องบนแป้นพิมพ์เช่น qwerty ชื่อบริษัท+ปี ฯลฯ) ซึ่งจะช่วยลดความเสี่ยงจากการโจมตีแบบ credential stuffing การโจมตีด้วยพจนานุกรม และการแคร็กแบบ brute force ได้อย่างมาก
**ทำไมไม่สามารถใช้ Math.random()**: สถานะภายในของตัวสร้างตัวเลขสุ่มเทียมทั่วไปสามารถถูกคาดเดาย้อนกลับได้จากผลลัพธ์จำนวนเล็กน้อย ผู้โจมตีสามารถคาดเดาตัวเลข «สุ่ม» ที่สร้างขึ้นในภายหลังได้ เครื่องมือนี้ใช้ crypto.getRandomValues() จาก Web Crypto API ของเบราว์เซอร์ ซึ่งเรียกใช้ CSPRNG ระดับระบบปฏิบัติการในระดับล่าง (เช่น getrandom ของ Linux, SecRandomCopyBytes ของ macOS, BCryptGenRandom ของ Windows) ตัวเลขสุ่มที่สร้างขึ้นผ่านการทดสอบความสุ่มทางการเข้ารหัส ไม่สามารถคาดเดาได้
**แกนหลักของความแข็งแรงรหัสผ่านคือเอนโทรปี**: เอนโทรปี = log₂(ขนาดกลุ่มตัวอักษร^ความยาวรหัสผ่าน) หน่วยเป็น bit ตัวอย่างเช่น รหัสผ่าน 16 ตัวอักษรถูกเลือกแบบสุ่มจาก 94 ตัวอักษร ASCII ที่พิมพ์ได้ เอนโทรปีประมาณ 104 bit ซึ่งหมายความว่าผู้โจมตีโดยเฉลี่ยต้องลอง 2¹⁰³ ครั้งจึงจะพบรหัสผ่านที่ถูกต้อง — แม้จะลอง 1 ล้านล้านครั้งต่อวินาทีก็ต้องใช้เวลาประมาณ 200 พันล้านปี
**วลีรหัสผ่านจำง่าย (Passphrase)**: ประกอบด้วยคำหลายคำที่ถูกเลือกแบบสุ่ม (เช่น Brave-Cloud-Star42) แม้ว่าจะดู «เรียบง่าย» กว่ารหัสผ่านสุ่ม แต่ถ้าคำถูกเลือกแบบสุ่มอย่างแท้จริง เอนโทรปีรวมสามารถถึงมากกว่า 60 bit ซึ่งปลอดภัยเพียงพอสำหรับสถานการณ์ส่วนใหญ่ และจำได้ง่ายกว่ารหัสผ่านสุ่มที่มีความแข็งแรงเท่ากันมาก นี่ยังเป็นแนวคิดหลักของการ์ตูนคลาสสิก XKCD #936 และวิธีการ Diceware
**รหัสผ่านทั้งหมดถูกสร้างในเครื่องในเบราว์เซอร์** ไม่ส่งไปยังเซิร์ฟเวอร์ใดๆ เครื่องมือนี้ยังให้การตรวจสอบความแข็งแรง: การคำนวณเอนโทรปี การประเมินเวลาแคร็กแบบ brute force การตรวจจับรูปแบบรหัสผ่านอ่อนแอ (ตัวอักษรซ้ำ ตัวเลข/ตัวอักษรต่อเนื่อง การจับคู่กับรหัสผ่านอ่อนแอทั่วไป) ช่วยให้คุณเข้าใจความแข็งแรงความปลอดภัยที่แท้จริงของรหัสผ่านที่สร้างขึ้น
| ความยาวรหัสผ่าน | เอนโทรปี(bit) | จำนวนชุดค่าผสม | เวลาแคร็กแบบ brute force (1 ล้านล้านครั้ง/วินาที) | ระดับความปลอดภัย |
|---|---|---|---|---|
6 ตัวอักษร | ~37 | ประมาณ 139 พันล้าน | < 1 วินาที | ❌ อ่อนแอมาก |
8 ตัวอักษร | ~52 | ประมาณ 2.2×10¹⁴ | ประมาณ 2.5 วัน | ❌ อ่อนแอ |
10 ตัวอักษร | ~65 | ประมาณ 3.7×10¹⁸ | ประมาณ 116 ปี | ⚠️ ปานกลาง |
12 ตัวอักษร | ~78 | ประมาณ 6.1×10²² | ประมาณ 1.93 ล้านปี | ✅ แข็งแรง |
16 ตัวอักษร | ~104 | ประมาณ 6.3×10³⁰ | ประมาณ 200 พันล้านปี | ✅✅ แข็งแรงมาก |
20 ตัวอักษร | ~131 | ประมาณ 6.7×10³⁸ | หลายพันล้านเท่าของอายุจักรวาล | ✅✅✅ ไม่สามารถแคร็กได้ |
| โหมด | ตัวอย่างรูปแบบ | เอนโทรปีโดยทั่วไป | ความสามารถในการจำ | กรณีที่แนะนำ |
|---|---|---|---|---|
| รหัสผ่านสุ่ม | xK9#mP2$vL8@nQ4! | ~6.5bit/ตัวอักษร | แย่ | รหัสผ่านหลักสำหรับตัวจัดการรหัสผ่าน รหัสผ่านฐานข้อมูล คีย์ API |
| วลีรหัสผ่านจำง่าย | Brave-Cloud-Star42 | ~10bit/คำ | ดี | รหัสผ่าน Wi-Fi รหัสผ่านเข้าสู่ระบบที่ต้องจำด้วยมือ |
| PIN ตัวเลข | 482917 | 3.3bit/ตัวเลข | ดี | หน้าจอล็อกอุปกรณ์ PIN บัตรธนาคาร รหัสยืนยันแบบใช้ครั้งเดียว |