เอนโทรปีของรหัสผ่านคืออะไร?

ทุกคนจำเป็นต้องตื่นตัวเกี่ยวกับการสร้างรหัสผ่านที่ไม่อาจเจาะผ่านได้ในทางคณิตศาสตร์ และหากเป็นหนึ่งในหลายแสนคนที่ ใช้ชื่อและวันเกิดในรหัสผ่าน(หน้าต่างใหม่) ก็ถึงเวลาแล้วที่จะต้องยกระดับความปลอดภัยในการเข้าสู่ระบบให้เข้มงวดยิ่งขึ้น

บทความนี้จะอธิบายวิธีการประมาณการและปรับปรุงเอนโทรปีของรหัสผ่าน ซึ่งดีต่อความปลอดภัยออนไลน์ แต่มีข้อดีข้อเสียที่ต้องแลกเปลี่ยน: การขยายใหญ่สุดเอนโทรปีของรหัสผ่านหมายความว่าจะทำให้จำไม่ได้โดยสิ้นเชิง และเช่นเคย มีการ์ตูน XKCD(หน้าต่างใหม่) ที่สรุปปัญหานี้ไว้

เมื่อพิจารณาจากจำนวนบริการออนไลน์ที่ลงทะเบียนใช้งาน (อย่างน้อยหลายสิบรายการ) จึงแทบจะเป็นไปไม่ได้เลยที่คนทั่วไปจะจดจำรหัสผ่านที่รัดกุมสำหรับแต่ละบริการได้

ด้วยเหตุนี้ จึงขอแนะนำให้ใช้โปรแกรมจัดการรหัสผ่านอย่าง Proton Pass ซึ่งสามารถสร้างรหัสผ่านที่มีเอนโทรปีสูงมากได้ โดยระบบจะจดจำและป้อนอัตโนมัติให้

ด้านล่างนี้จะอธิบายถึงความหมายของเอนโทรปีของรหัสผ่าน วิธีคำนวณ และผลกระทบต่อความรัดกุมของรหัสผ่าน ซึ่งจะช่วยในการเลือกการตั้งค่าที่ปลอดภัยที่สุดในโปรแกรมจัดการรหัสผ่าน (หรือหลีกเลี่ยงการเข้าสู่ระบบสำหรับบริการที่ต้องใช้รหัสผ่านที่มีเอนโทรปีต่ำมาก)

“เอนโทรปีของรหัสผ่าน” หมายถึงอะไร?

เอนโทรปีของรหัสผ่านหมายถึงความคาดเดาไม่ได้ของรหัสผ่านหรือข้อความรหัสผ่าน โดยวัดเป็น บิต โดยทั่วไป ยิ่งมีจำนวนบิตของเอนโทรปีมากเท่าใด รหัสผ่านก็จะยิ่งซับซ้อนมากขึ้นเท่านั้น และ ยิ่งยากต่อการเจาะระบบด้วยการโจมตีแบบสุ่มทุกรูปแบบ

ผู้โจมตีแบบสุ่มจะใช้วิธีสุ่มเดาเพื่อคาดเดาชุดอักขระในข้อมูลยืนยันตัวตนสำหรับการเข้าสู่ระบบ รหัสผ่าน และข้อมูลการเข้ารหัสลับ

ตัวอย่างเช่น แฮกเกอร์จำนวนมากใช้สคริปต์และเครื่องจักรที่ซับซ้อนเพื่อสุ่มเดารหัสผ่านหลายพันครั้งโดยอัตโนมัติภายในไม่กี่นาที ในกรณีที่น่าประหลาดใจที่สุดกรณีหนึ่ง นักวิจัยพบการประมวลผลการเดารหัสผ่านสูงสุดถึง 350 พันล้านครั้ง(หน้าต่างใหม่) ต่อวินาที

ผู้โจมตีใช้การโจมตีแบบสุ่มเพื่อเปิดเผยรหัสผ่านที่คาดเดาง่ายอย่างรวดเร็ว การวัดผลและให้ความสำคัญกับเอนโทรปีของรหัสผ่านจะช่วยป้องกันไม่ให้ข้อมูลนี้ตกไปอยู่ในมือของคนร้ายได้

เอนโทรปีของรหัสผ่านส่งผลต่อความรัดกุมของรหัสผ่านอย่างไร?

ปัจจัยหลายประการส่งผลต่อเอนโทรปีของรหัสผ่าน และส่งผลต่อความรัดกุมของรหัสผ่านด้วยเช่นกัน โดยจำเป็นต้องพิจารณาปัจจัยของรหัสผ่านดังนี้:

• ความยาว (เป็นจำนวนอักขระ)
• การใช้ตัวอักษรพิมพ์ใหญ่และพิมพ์เล็ก
• การใช้ตัวเลข
• การใช้สัญลักษณ์พิเศษ

ในบรรดาองค์ประกอบทั้งหมดที่ระบุไว้ที่นี่ ความยาวของรหัสผ่าน มีความสำคัญที่สุด ข้อความรหัสผ่านที่ยาวเพียงพอจะสามารถเอาชนะการโจมตีแบบสุ่มได้เกือบทั้งหมด และสามารถเพิ่มเอนโทรปีให้มากขึ้นได้โดยใช้ตัวอักษรพิมพ์ใหญ่ สัญลักษณ์พิเศษ และตัวเลขแบบสุ่ม

อย่างไรก็ตาม เอนโทรปีไม่ได้ขึ้นอยู่กับความยาวหรือความซับซ้อนที่รหัสผ่าน ปรากฏ เท่านั้น แต่ยังขึ้นอยู่กับวิธีการสร้างด้วย ชุดอักขระที่สุ่มขึ้นมาอย่างแท้จริงจะมีเอนโทรปีสูงกว่าคำหรือวลีทั่วไปอย่างมาก แม้ว่าทั้งสองอย่างจะมีความยาวเท่ากันก็ตาม

แฮกเกอร์สามารถใช้การโจมตีแบบพจนานุกรมเพื่อเดาข้อมูลยืนยันตัวตนได้หากใช้คำที่จำง่ายหรือวลีทั่วไปในรหัสผ่าน

การโจมตีแบบพจนานุกรมจะเดาคำศัพท์ทุกคำในพจนานุกรมที่อาจนำมาใช้ในรหัสผ่านโดยอัตโนมัติ

ดังนั้น ไม่ว่าเอนโทรปีของรหัสผ่านจะเป็นอย่างไร ก็ยังคงมีความเสี่ยงต่อการถูกแฮกหากใช้ชื่อสัตว์เลี้ยง ทีมกีฬา หรือรหัสผ่านทั่วไปอื่นๆ (เช่น ห้ามใช้คำว่า “password” เป็นอันขาด) ในรายละเอียดการเข้าสู่ระบบ

วิธีคำนวณเอนโทรปีของรหัสผ่าน

ในที่นี้จะอธิบายวิธีคำนวณเอนโทรปีของรหัสผ่าน แต่สิ่งสำคัญคือต้องทราบว่านี่เป็นเพียงการสาธิตเท่านั้น ไม่สามารถประมาณการเอนโทรปีของรหัสผ่านได้อย่างปลอดภัยจากลักษณะที่ปรากฏ รหัสผ่านที่สร้างขึ้นโดยมนุษย์ — แม้ว่าจะยาวก็ตาม — มักจะเดาได้ง่ายมาก หากไม่ได้สร้างด้วยโปรแกรมสร้างรหัสผ่านแบบสุ่ม ควรระลึกไว้เสมอว่าเอนโทรปีอาจต่ำกว่าที่คิด

เมื่อสมมติว่าใช้ชุดอักขระแบบสุ่ม เอนโทรปีของรหัสผ่านจะวัดเป็นบิตและขึ้นอยู่กับปัจจัยหลักสองประการ:

1. จำนวนอักขระที่มีอยู่ในช่วงอักขระที่เลือกสำหรับรหัสผ่าน
2. จำนวนอักขระในรหัสผ่าน

ดังนั้น เอนโทรปีของรหัสผ่านจะเพิ่มขึ้นเมื่อรหัสผ่านยาวขึ้นและช่วงอักขระที่เป็นไปได้กว้างขึ้น รหัสผ่านที่ยาวและใช้ตัวอักษรพิมพ์ใหญ่ ตัวพิมพ์เล็ก สัญลักษณ์ และตัวเลข เช่น kmXz2=zs[m%7?y4A จะมีเอนโทรปีสูงมาก

รหัสผ่านที่ใช้เฉพาะตัวอักษรพิมพ์เล็กหรือตัวเลข เช่น dzormybs หรือ 119022833 จะมีเอนโทรปีต่ำมาก

ข้อความรหัสผ่านจดจำได้ง่ายกว่า แต่ต้องระมัดระวัง เพราะต้องมีความยาวมากกว่าเพื่อให้มีระดับเอนโทรปีที่ใกล้เคียงกัน ตัวอย่างเช่น ข้อความรหัสผ่านอย่าง HelpFidoSaveChocolate33! ดูเหมือนจะซับซ้อน แต่เนื่องจากใช้คำภาษาอังกฤษทั่วไปสี่คำและชุดตัวเลขร่วมกับสัญลักษณ์ที่คาดเดาได้ง่ายที่ตอนท้าย เอนโทรปีที่แท้จริงจึงอาจอยู่ที่ประมาณ 50 บิต ซึ่งน้อยกว่าเอนโทรปีของ kmXz2=zs[m%7?y4A อย่างมาก แม้ว่าจะสั้นกว่าแปดอักขระก็ตาม

บิตของเอนโทรปีคืออะไร?

บิตของเอนโทรปีใช้วัดความยากในการเจาะรหัสผ่าน ตัวอย่างเช่น รหัสผ่านที่ทราบอยู่แล้วจะมีค่าเท่ากับศูนย์บิต

เมื่อใช้สูตร จะสามารถคำนวณจำนวนบิตของเอนโทรปีในรหัสผ่านได้ และยังทำให้ทราบว่าสคริปต์หรือเครื่องจักรของผู้โจมตีจะต้องเดากี่ครั้งจึงจะเข้าถึงได้

อย่างไรก็ตาม ก่อนที่จะคำนวณเอนโทรปีของรหัสผ่าน จำเป็นต้องวัดช่วงอักขระที่เป็นไปได้ทั้งหมดเสียก่อน

การวัดช่วงอักขระ

ตารางต่อไปนี้แสดงให้เห็นว่าตัวเลือกอักขระเพิ่มขึ้นอย่างไรเมื่อเพิ่มอักขระประเภทต่างๆ ลงในรหัสผ่านในการเขียนภาษาอังกฤษ ทั้งนี้จำนวนตัวอักษรและสัญลักษณ์อาจแตกต่างกันไปตามภาษาที่ใช้

ประเภทอักขระ	ตัวอย่าง (ต่าง ๆ)	ขนาดช่วง
ตัวเลข	0, 1, 2, 3	10
อักษรละติน (ตัวพิมพ์เล็ก)	a, b, c, d	26
อักษรละติน (ตัวพิมพ์ใหญ่)	A, B, C, D	26
สัญลักษณ์พิเศษ	!, @, %, $	32

ยิ่งมีตัวเลือกสำหรับอักขระที่เป็นไปได้ให้กับผู้ที่อาจแฮกข้อมูลมากเท่าใด เอนโทรปีของรหัสผ่านก็จะยิ่งสูงขึ้นเท่านั้น ดังนั้น ควรให้ความสำคัญกับ ช่วงอักขระที่กว้างที่สุดเท่าที่จะเป็นไปได้ และใช้ทั้งสี่ประเภทผสมกัน

ตัวอย่างรหัสผ่านและช่วงอักขระทั้งหมด:

ตัวอย่าง	ช่วงอักขระทั้งหมด
112233	10
abcde	26
a1b2c3d4	36
a1B2c3D4	62
a1!B2%c3^D4	94

โปรดจำไว้ว่าข้อมูลข้างต้นแสดงถึงขนาดที่เป็นไปได้ของช่วงอักขระ ไม่ใช่ บิตของเอนโทรปี จำเป็นต้องใช้สูตรเฉพาะเพื่อคำนวณเอนโทรปีที่แม่นยำของรหัสผ่านเป็นหน่วยบิต

สูตรเอนโทรปีของรหัสผ่าน

สามารถวัดเอนโทรปีของรหัสผ่านเป็นบิตได้โดยใช้สูตรต่อไปนี้:

E = L × log₂(R)

ในสูตรนี้:

• E คือ เอนโทรปีของรหัสผ่าน
• R คือ ช่วงที่เป็นไปได้ของประเภทอักขระในรหัสผ่าน (ตามที่แสดงในตารางด้านบน)
• L คือ จำนวนอักขระในรหัสผ่าน (ความยาวของรหัสผ่าน)
• บันทึก₂ ตอบคำถามที่ว่า “ต้องยกกำลัง 2 ด้วยเท่าใดจึงจะได้ผลลัพธ์เท่ากับจำนวนนี้”

เมื่อใช้สูตรนี้ ตัวอย่างรหัสผ่านบางส่วนจะมีค่าเป็นบิตดังนี้:

ตัวอย่าง	ช่วงอักขระ	ความยาวรหัสผ่าน	การคำนวณ	บิตของเอนโทรปี
fygwcbjnhsbh	26	12 อักขระ	E = 12 x 4.7	56.4
HzgNhHkY1WQ8AM	62	14 อักขระ	E = 14 x 5.95	83.3
kmXz2=zs[m%7?y4A	94	16 อักขระ	E = 16 x 6.55	104.8

ตัวเลขทางคณิตศาสตร์แสดงให้เห็นว่ายิ่งรหัสผ่านยาวและซับซ้อนมากเท่าใด ก็จะมีจำนวนบิตของเอนโทรปีมากขึ้นเท่านั้น

โปรดจำไว้ว่า การคำนวณเหล่านี้ใช้ได้กับรหัสผ่านที่สร้างขึ้นแบบสุ่มเท่านั้น ข้อความรหัสผ่านที่ใช้คำทั่วไปต้องมีความยาวมากกว่านี้ และต้องใช้คำที่ไม่ซ้ำกันและไม่มีความเกี่ยวข้องกัน (และทางที่ดีควรใช้ตัวเลขและสัญลักษณ์ด้วย) เพื่อสร้างระดับความปลอดภัยที่ใกล้เคียงกัน

และโปรดจำไว้ว่าการคำนวณเหล่านี้เป็นเพียงการสาธิตมากกว่าการนำไปใช้งานจริง ควรพึ่งพาโปรแกรมสร้างรหัสผ่านแทนการพยายามคำนวณความรัดกุมของรหัสผ่านด้วยตนเอง

สามารถใช้ โปรแกรมสร้างรหัสผ่าน ฟรีเพื่อทดลองและดูความรัดกุมของรหัสผ่านต่างๆ ได้

ขอย้ำอีกครั้งว่าเอนโทรปีเป็นเพียงเกณฑ์วัดความรัดกุมเพียงข้อหนึ่งเท่านั้น เพื่อหลีกเลี่ยงการโจมตีแบบพจนานุกรม ควรหลีกเลี่ยงการใช้รหัสผ่านหรือวลีที่ใช้กันทั่วไป นอกจากนี้ควรหลีกเลี่ยงการใช้ข้อมูลส่วนบุคคลเป็นรหัสผ่าน เช่น วันเกิด ชื่อสัตว์เลี้ยง หรือชื่อถนน เนื่องจากผู้โจมตีสามารถค้นหาข้อมูลเหล่านี้ได้

รหัสผ่านแบบใดที่ถือว่ารัดกุม?

โดยทั่วไป รหัสผ่านที่รัดกุมหรือมีเอนโทรปีสูงจะมีคะแนน อย่างน้อย 75 บิต ส่วนรหัสผ่านใดๆ ที่มีน้อยกว่า 72 บิตจะถูกเจาะระบบได้ง่ายโดยใช้เครื่องจักร

การคำนวณจำนวนครั้งสูงสุดในการคาดเดาที่เป็นไปได้จะใช้สูตร 2 ^ (จำนวนบิต) ซึ่งหมายถึงจำนวนครั้งที่เลข 2 ทวีคูณขึ้นจนเท่ากับจำนวนบิตทั้งหมด

ตัวอย่างเช่น รหัสผ่านที่มีเอนโทรปี 10 บิต เมื่อใช้สูตร 2 ^ 10 จะต้องเดาสูงสุด 1,024 ครั้งเพื่อเจาะระบบ ซึ่งโดยทั่วไปจะเป็นรหัสผ่านตัวเลขสามอักขระ เช่น 456

ควรกำหนดเป้าหมายเอนโทรปีให้มากกว่า 100 บิตเพื่อ สร้างรหัสผ่านที่รัดกุม โดยตั้งเป้าหมายให้สูงที่สุดเท่าที่จะเป็นไปได้ เนื่องจากยิ่งเอนโทรปีสูงเท่าใด เครื่องจักรก็จะยิ่งต้องใช้เวลามากขึ้นในการเดารหัสผ่านที่ถูกต้องด้วยการโจมตีแบบสุ่ม

กฎเกณฑ์ในการสร้างรหัสผ่านที่มีเอนโทรปีสูงนั้นแตกต่างกันไปอย่างมากตามที่ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำ แต่มีกฎทั่วไปสองสามข้อที่ยอมรับร่วมกันได้แก่:

1. รหัสผ่านควรมี ความยาวอย่างน้อย 14 อักขระ และใช้อักขระผสมกัน (ไม่ใช่แค่ตัวอักษรพิมพ์เล็กในอักษรละตินพื้นฐานเท่านั้น)
2. ควร หลีกเลี่ยงการใช้วลีหรือคำศัพท์ที่มีความสำคัญส่วนตัว (ซึ่งทำให้เดาได้ง่าย)
3. รหัสผ่านที่รัดกุม จะต้องไม่เชื่อมต่อกับชื่อผู้ใช้ (ควรถือว่าทั้งสองส่วนเป็นข้อมูลแยกจากกันเสมอ)
4. มีส่วนผสมของ ตัวอักษรพิมพ์เล็กอย่างน้อยหนึ่งตัว ตัวอักษรพิมพ์ใหญ่อย่างน้อยหนึ่งตัว ตัวเลขอย่างน้อยหนึ่งตัว และ อักขระพิเศษอย่างน้อยหนึ่งตัว (เช่น %, ^, *, &, @, ~, เป็นต้น)

นอกจากนี้ยังขอแนะนำให้ใช้ บัญชีบล็อกรหัสผ่าน เพื่อช่วยหลีกเลี่ยงการใช้คำหรือวลีที่นิยมใช้กันทั่วทั้งเว็บ ตัวอย่างเช่น โครงการ Bad Passwords ของ NIST(หน้าต่างใหม่) เป็นเครื่องมือโอเพนซอร์สยอดนิยมสำหรับการสร้างวลีที่มีเอนโทรปีสูง

หากต้องการสร้างรหัสผ่านผู้ดูแลระบบที่ปลอดภัยสำหรับโปรแกรมจัดการรหัสผ่าน โปรดพิจารณาแนวทางต่อไปนี้

โดยสรุป รหัสผ่านที่ปลอดภัยอย่างแท้จริงจะมีลักษณะดังนี้:

• ตัวอักษรพิมพ์ใหญ่อย่างน้อยหนึ่งตัว
• ตัวอักษรพิมพ์เล็กอย่างน้อยหนึ่งตัว
• สัญลักษณ์พิเศษอย่างน้อยหนึ่งตัว
• ตัวเลขอย่างน้อยหนึ่งตัว
• ความยาวอย่างน้อย 14 อักขระ (หรืออย่างน้อย 30 อักขระสำหรับข้อความรหัสผ่าน หากใช้คำที่ไม่ซ้ำกันและไม่มีความเกี่ยวข้องกัน)

ตัวอย่างด้านบน kmXz2=zs[m%7?y4A ตรงตามข้อกำหนดทั้งหมดนี้ และเป็นการสร้างรหัสผ่านที่มีเอนโทรปีประมาณ 105 บิต ซึ่งต้องใช้เวลานานมากจนแทบเป็นไปไม่ได้เลยในการเจาะระบบด้วยการโจมตีแบบสุ่ม

สร้างรหัสผ่านที่รัดกุมด้วย Proton Pass

วิธีเดียวในการสร้างและจดจำรหัสผ่านที่รัดกุมให้เพียงพอสำหรับบัญชีออนไลน์ทั้งหมดคือการใช้โปรแกรมจัดการรหัสผ่าน โดย Proton Pass จะสร้างข้อความรหัสผ่านที่ปลอดภัยด้วยการคลิกเพียงครั้งเดียว สามารถใช้เพื่อสร้างข้อความรหัสผ่านขนาด 10 คำ หรือรหัสผ่านแบบสุ่มที่มีความยาว 64 อักขระ และสามารถควบคุมการใช้งานตัวเลข ตัวอักษรพิมพ์ใหญ่ และอักขระพิเศษสำหรับแต่ละรหัสผ่านได้ในกรณีที่ต้องการขยายใหญ่สุดเอนโทรปีของรหัสผ่าน

ด้วย Proton Pass รหัสผ่านจะไม่เพียงแต่ยากต่อการเจาะระบบเท่านั้น แต่ยังได้รับที่จัดเก็บด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง และได้รับการสำรองข้อมูลด้วยการยืนยันตัวตนผ่านสองขั้นตอนที่ปลอดภัยผ่านโปรแกรมจัดการรหัสผ่าน ฟรี ที่ปลอดภัยที่สุดในโลก อ่าน โมเดลความปลอดภัยของ Proton Pass เพื่อเรียนรู้เพิ่มเติม

หากเอนโทรปีของรหัสผ่านทำให้รู้สึกสับสน สามารถลงทะเบียนและลงทะเบียนใช้งาน Proton Pass เพื่อช่วยในการสร้าง จัดเก็บ และปกป้องรหัสผ่านให้ปลอดภัยเพื่อต้านทานการโจมตีที่เป็นอันตรายได้

อัปเดต 18 พฤศจิกายน 2025: บทความนี้ได้รับการอัปเดตแล้วเพื่ออธิบายปัญหาในการพยายามคำนวณเอนโทรปีของข้อความรหัสผ่านและรหัสผ่านโดยทั่วไปให้ชัดเจนยิ่งขึ้น ความซับซ้อนของรหัสผ่านมักจะถูกประเมินสูงเกินไปได้ง่าย เว้นแต่จะได้รับการสร้างขึ้นแบบสุ่มอย่างแท้จริง

FAQ