ความแข็งแกร่งของรหัสผ่าน

ความแข็งแกร่งของรหัสผ่าน หรือ ความเข้มแข็งของรหัสผ่าน เป็นค่าวัดประสิทธิผลของ#เปลี่ยนทาง ในการต้านทานการคาดเดาหรือการโจมตีด้วยกำลัง 
โดยทั่วไปแล้วจะประเมินจากจำนวนครั้งโดยเฉลี่ยที่ผู้โจมตีซึ่งไม่มีความรู้เกี่ยวกับรหัสผ่านโดยตรง จะต้องลองเพื่อให้เดารหัสผ่านได้อย่างถูกต้อง
ความแข็งแกร่งจะมีค่าตามฟังก์ชันของจำนวน ความหลากหลาย และ#เปลี่ยนทาง ของตัวอักษร
การใช้รหัสผ่านที่เข้มแข็งย่อมลดความเสี่ยงของระบบไม่ให้ถูกบุกรุก แต่ก็ใช่ว่าจะ#เปลี่ยนทาง การรักษาความปลอดภัยชนิดอื่น#เปลี่ยนทาง ๆ ได้
ประสิทธิผลของรหัสผ่านจะขึ้นอยู่กับการ#เปลี่ยนทาง และการทำให้เกิดผลของปัจจัยพิสูจน์ตัวจริงต่าง#เปลี่ยนทาง ๆ รวมทั้งสิ่งที่ผู้ใช้รู้ (เช่นรหัสผ่าน) สิ่งที่มี (เช่น กุญแจฮาร์ดแวร์) และสิ่งที่เป็น (เช่น ลายนิ้วมือ)
ปัจจัยแรกที่ว่าเป็นประเด็นหลักของ#เปลี่ยนทาง นี้ 
อัตราที่ผู้โจมตีสามารถทดลองรหัสผ่านกับระบบเป็นปัจจัยหลักที่กำหนดความมั่นคง 
ระบบบางอย่างจึงมีการให้พักนอกเวลาเป็นวินาที#เปลี่ยนทาง ๆ หลังจากที่ใส่รหัสผ่านผิด#เปลี่ยนทาง ๆ เพียงไม่กี่ครั้ง (เช่น 3#เปลี่ยนทาง ครั้ง)
เมื่อไร้ความบกพร่องชนิดอื่น#เปลี่ยนทาง ๆ ระบบดังกล่าวก็จะสามารถรักษา#เปลี่ยนทาง ด้วยรหัสผ่านที่ไม่ต้องซับซ้อนมาก 
อย่างไรก็ดี ระบบก็ยังต้องเก็บข้อมูลรหัสผ่านของผู้ใช้ในรูปแบบบางอย่าง ถ้าข้อมูลนั้นถูกขโมย ก็อาจเป็นปัจจัยให้รหัสผ่านถูกแฮ็กได้
ในปี#เปลี่ยนทาง 2019 ศูนย์ความมั่นคงทางไซเบอร์แห่งชาติสหราชอาณาจักร ได้วิเคราะห์#เปลี่ยนทาง บัญชีรั่วไหลที่เป็นสาธารณะ เพื่อตรวจดูว่าผู้ใช้ใช้คำหรือวลีอะไรเป็นรหัสผ่านมากที่สุด 
ที่นิยมที่สุดก็คือ 123456 ซึ่งถูกแฮ็กมาแล้วถึง #เปลี่ยนทาง 
ที่นิยมเป็นอันดับสองก็คือ 123456789 ซึ่งก็เดาได้ไม่ยากกว่ามาก
การสร้างรหัสผ่าน.
ผู้ใช้สามารถใช้ตัวสร้างรหัสผ่านสุ่มอัตโนมัติ หรือตั้งรหัสผ่านขึ้นเอง
โดยอย่างหลังมักจะสามัญกว่า 
ความเข้มแข็งของรหัสผ่านที่สร้างขึ้นโดยสุ่มในการต่อต้านการโจมตีแบบใช้กำลังสามารถประเมินค่าได้อย่างแม่นยำ แต่รหัสผ่านที่สร้างเองประเมินได้ยาก 
เมื่อผู้ใช้เลือกรหัสผ่านสำหรับแอปหรือเว็บไซต์ ก็มักจะได้คำแนะนำหรือข้อจำกัด 
รหัสผ่านที่สร้างเองจะประเมินค่าความแข็งแกร่งได้เพียงแต่คร่าว#เปลี่ยนทาง ๆ เพราะมักทำตามรูปแบบและการมีรูปแบบก็จะช่วยให้เดาได้ง่ายขึ้น
อนึ่ง ยังมีรายการรหัสผ่านยอดนิยมซึ่งสามารถป้อนให้แก่โปรแกรมเดารหัสผ่าน 
รายการเช่นนี้จะมาจากพจนานุกรมออนไลน์ในภาษาต่าง#เปลี่ยนทาง ๆ,
จากฐานข้อมูลรหัสผ่านทั้งที่บันทึกเป็นอักษรเปล่าหรือเป็นค่าแฮชที่ได้เจาะมาจากบัญชีธุรกิจและบัญชีสื่อสังคม และจากรหัสผ่านที่สามัญอื่น#เปลี่ยนทาง ๆ 
ดังนั้น รหัสผ่านและรหัสผ่านที่ดัดแปลงง่าย#เปลี่ยนทาง ๆ จากรายการเช่นนี้จึงจัดว่าอ่อนแอทั้งหมด
แม้ปัจจุบันจะมีโปรแกรมสร้างรหัสผ่านแบบสุ่มซึ่งหมายให้ใช้ได้ง่าย แต่ปกติก็จะสร้างรหัสผ่านที่จำได้ยาก จึงทำให้ผู้ใช้มักเลือกรหัสเองซึ่งปกติจะไม่ปลอดภัย 
เพราะสิ่งที่บุคคลเลือกมักจะขึ้นอยู่กับรูปแบบการดำเนินชีวิต การบันเทิงที่ชอบใจ และเรื่องที่เกี่ยวข้องกับบุคคลนั้น#เปลี่ยนทาง ๆ 
ในขณะที่สื่อสังคม#เปลี่ยนทาง ก็มักจะทำให้สืบหาเก็บข้อมูลต่าง#เปลี่ยนทาง ๆ เกี่ยวกับบุคคลนั้นได้ง่าย 
ความถูกต้องของรหัสผ่านที่เดา.
ระบบที่ใช้รหัสผ่านเพื่อพิสูจน์ตัวตนจะต้องตรวจสอบว่ารหัสผ่านที่ให้ถูกต้องหรือไม่ 
ถ้าเก็บรหัสผ่านเปล่าไว้ในไฟล์หรือในฐานข้อมูล ผู้โจมตีที่เข้าถึงระบบได้ก็อาจสามารถเก็บรหัสผ่านของผู้ใช้ได้ทั้งหมด 
ทำให้เข้าถึงบัญชีในระบบได้ทั้งหมด และบางที ก็ระบบอื่น#เปลี่ยนทาง ๆ ด้วยที่ผู้ใช้ใช้รหัสผ่านเช่นเดียวกันหรือคล้าย#เปลี่ยนทาง ๆ กัน 
วิธีลดความเสี่ยงอย่างหนึ่งก็คือการเก็บแต่ค่าแฮช (cryptographic hash) ของรหัสผ่านแทนที่จะเก็บรหัสผ่านเปล่าเอง 
ค่าแฮชที่ทำตามมาตรฐานต่าง#เปลี่ยนทาง ๆ เช่น จากกลุ่ม Secure Hash Algorithm (SHA) จะคำนวณกลับคืนเป็นรหัสผ่านดั้งเดิมได้ยากมาก ดังนั้นผู้โจมตีที่เพียงแต่ได้ค่าแฮช จึงไม่สามารถบอกรหัสผ่านดั้งเดิมโดยทันที 
แต่การมีค่าแฮชก็จะอาจทำให้แฮ็กรหัสผ่านได้เมื่อทำออฟไลน์ 
มีโปรแกรมเจาะรหัสผ่านที่สามารถทดสอบรหัสได้เป็นจำนวนมากโดยคำนวณค่าแฮชที่เป็นเป้าหมาย 
เทคโนโลยีได้พัฒนาขึ้นเรื่อย#เปลี่ยนทาง ๆ ดังนั้น การเดารหัสผ่านก็เร็วขึ้นเรื่อย#เปลี่ยนทาง ๆ เช่นกัน 
ยกตัวอย่างเช่นในปี#เปลี่ยนทาง 2010 สถาบันการวิจัยจอร์เจียเทคได้พัฒนาวิธีการเจาะรหัสผ่านที่เร็วยิ่งขึ้นมากโดยใช้หน่วยประมวลผลกราฟิกส์เป็นตัวคำนวณ
ในปี#เปลี่ยนทาง 2011 ก็เริ่มมีผลิตภัณฑ์ที่อ้างว่าสามารถทดสอบรหัสผ่านได้ถึง #เปลี่ยนทาง บนคอมพิวเตอร์ตั้งโต๊ะธรรมดาโดยใช้หน่วยประมวลผลกราฟิกส์ชั้นสูงที่มีในตอนนั้น
อุปกรณ์ที่ว่าสามารถเจาะรหัสผ่านยาว 6 ตัวอักษรและมีอักษรตัวเล็กหรือตัวใหญ่เพียงอย่างเดียวโดยเสร็จในวันเดียว 
และยังสามารถแจกกระจายงานไปยังคอมพิวเตอร์จำนวนมากเพื่อเพิ่มความเร็ว โดยจะเร็วตามจำนวนคอมพิวเตอร์ที่มีหน่วยประมวลผลกราฟิกส์ในระดับเดียวกัน 
มีเทคนิคเพิ่มความแข็งแกร่งของค่าแฮช คือ การยืดกุญแจ ซึ่งเพิ่มเวลาในการคำนวณค่าแฮช เป็นการลดอัตราการเดารหัสผ่านที่จะทำได้ 
แม้เทคนิคนี้ปัจจุบันจะจัดว่าเป็นแนวปฏิบัติที่ดีสุด แต่ระบบทั่ว#เปลี่ยนทาง ๆ ไปก็ไม่ค่อยใช้
สถานการณ์อีกอย่างหนึ่งที่ทำให้เดารหัสผ่านได้อย่างรวดเร็วก็คือเมื่อใช้รหัสผ่านเป็นกุญแจเข้ารหัสลับ (cryptographic key)
ผู้โจมตีจึงตรวจสอบดูได้ว่า รหัสผ่านที่เดาสามารถถอดรหัสลับของข้อมูลได้หรือไม่ 
เช่น มีผลิตภัณฑ์หนึ่งที่อ้างว่าสามารถตรวจสอบรหัสผ่านวายฟายชนิด WPA PSK ได้ถึง #เปลี่ยนทาง 
ถ้าระบบเก็บรหัสผ่านไว้เป็นค่าแฮช ผู้โจมตีก็อาจคำนวณค่าแฮชไว้ล่วงหน้าสำหรับรหัสผ่านที่สามัญ 
หรือสำหรับรหัสผ่านที่สั้น#เปลี่ยนทาง ๆ แล้วสามารถแฮ็กเอารหัสผ่านดั้งเดิมได้อย่างรวดเร็วเมื่อขโมยเอาค่าแฮชได้ 
อนึ่ง ผู้โจมตีอาจเก็บค่าแฮชไว้ในฐานข้อมูลที่เรียกว่า rainbow table ที่ทำให้เจาะเอารหัสผ่านได้อย่างมีประสิทธิภาพ
แต่วิธีการโจมตีนี้ก็ป้องกันได้โดยใช้ค่าสุ่มที่เรียกว่า cryptographic salt แล้วเก็บไว้ร่วมกับค่าแฮช
ค่าสุ่มนี้จะใช้ร่วมกับรหัสผ่านเมื่อคำนวณค่าแฮช ดังนั้นผู้โจมตีที่ใช้ฐานข้อมูลก็จะต้องเก็บรหัสผ่านกับค่าแฮชและค่าสุ่มที่เป็นไปได้ทุกค่า
ซึ่งทำไม่ได้เมื่อค่าสุ่มมีขนาดใหญ่พอเช่นเป็นเลข 32#เปลี่ยนทาง บิต 
แต่ระบบพิสูจน์ตัวตนเป็นจำนวนมากก็มักไม่ใช้ค่าสุ่มนี้ ดังนั้น จึงมีฐานข้อมูลเจาะรหัสผ่านสำหรับค่าแฮชโดยวิธีต่าง#เปลี่ยนทาง ๆ ทางอินเทอร์เน็ต 
ค่าวัดความแข็งแกร่งเป็นเอนโทรปี.
รหัสผ่านจะแข็งแกร่งแค่ไหนสามารถกำหนดได้ด้วยเอนโทรปีของข้อมูล (information entropy) ซึ่งเป็นแนวคิดที่ได้จากสาขาทฤษฎีสารสนเทศ
โดยคร่าว#เปลี่ยนทาง ๆ จะเท่ากับ#เปลี่ยนทาง ของจำนวนการเดาสูงสุดเพื่อให้ได้รหัสผ่าน โดยมักเรียกว่า "บิตเอนโทรปี"
รหัสผ่านที่มี 42#เปลี่ยนทาง บิตเอนโทรปีจะแข็งแกร่งเท่ากับการเลือก#เปลี่ยนทาง โดยสุ่มติดต่อกัน 42#เปลี่ยนทาง ตัว เช่น โยนเหรียญหัวก้อย 42#เปลี่ยนทาง ครั้ง 
กล่าวอีกอย่างก็คือ รหัสผ่านที่มี 42#เปลี่ยนทาง บิตเอนโทรปีจะต้องเดา 242 #เปลี่ยนทาง ครั้งเพื่อให้ได้รหัสผ่านที่เป็นไปได้ทั้งหมด
ดังนั้น การเพิ่มเอนโทรปีของรหัสผ่าน 1#เปลี่ยนทาง บิตก็จะเพิ่มจำนวนการเดาเป็นเท่าตัว จึงทำให้แฮ็กได้ยากขึ้นเป็นทวีคูณ 
ผู้โจมตีโดยเฉลี่ยจะต้องเดารหัสผ่านเป็นจำนวนครึ่งหนึ่งก่อนจะได้รหัสผ่านที่ถูกต้อง
รหัสผ่านสุ่ม.
รหัสผ่านสุ่มจะประกอบด้วยตัวอักษร/สัญลักษณ์เป็นจำนวนหนึ่งโดยได้จากระบวนการเลือกแบบสุ่มที่แต่ละตัวในชุดอักษร/สัญลักษณ์จะมีโอกาสเลือกเท่า#เปลี่ยนทาง ๆ กัน 
อาจจะเป็นอักษรหนึ่ง#เปลี่ยนทาง ๆ จากชุดอักขระเช่นแอสกี หรือเป็นพยางค์ที่ออกแบบเพื่อใช้สร้างรหัสผ่านที่ออกเสียงได้ หรือแม้แต่เป็นคำจากรายการคำ (เป็นการสร้างพาสเฟรซ)
ความแข็งแกร่งของรหัสผ่านสุ่มจะขึ้นอยู่กับเอนโทรปีของตัวสร้าง
แต่ตัวสร้างก็มักทำสุ่มไม่ได้จริง#เปลี่ยนทาง ๆ แต่ทำเป็นเสมือนสุ่ม (pseudorandom)
ตัวสร้างรหัสผ่านที่มีให้ใช้ทั่วไปหลายตัวต่างใช้ตัวสร้างเลขสุ่มในคลังโปรแกรมที่จริง#เปลี่ยนทาง ๆ ก็มีเอนโทรปีจำกัด
แต่ระบบปฏิบัติการปัจจุบันโดยมากก็มีตัวสร้างเลขสุ่มที่ดีทางวิทยาการรหัสลับ ดังนั้นจึงเหมาะสมเพื่อใช้สร้างรหัสผ่าน
อนึ่ง ยังสามารถใช้ลูกเต๋าธรรมดาเพื่อสร้างรหัสผ่านสุ่มอีกด้วย
รหัสผ่านที่สร้างด้วยกระบวนการเลือกสัญญลักษณ์ต่อ#เปลี่ยนทาง ๆ กันโดยสุ่ม มีความยาว "L" โดยเลือกจากกลุ่มสัญลักษณ์จำนวน "N" ตัว จะสามารถสร้างรหัสผ่านได้อย่างมาก "N""L" ตัว
ดังนั้นไม่ว่าจะเพิ่มค่า "L" หรือ "N" ก็จะทำให้รหัสผ่านที่สร้างแข็งแกร่งยิ่งขึ้น 
ความแข็งแกร่งเมื่อวัดโดย#เปลี่ยนทาง ก็คือ#เปลี่ยนทาง (log2) ของจำนวนรหัสผ่านที่เป็นไปได้ โดยสมมุติว่า สัญลักษณ์แต่ละตัวในรหัสผ่านจะเลือกอย่างเป็นอิสระ 
ดังนั้น เอนโทรปีข้อมูล "H" ก็จะคำนวณได้ด้วยสูตร
"H" มีหน่วยเป็นบิต
สำหรับนิพจน์ช่องสุดท้าย "log" จะมีฐานอะไรก็ได้
ข้อมูล 1#เปลี่ยนทาง ไบต์มักจะเขียนเป็นเลขฐานสิบหก 2#เปลี่ยนทาง ตัว
เพื่อจะหาความยาวของรหัสผ่าน "L" ที่มีความแข็งแกร่ง "H" โดยเป็นรหัสผ่านสุ่มที่ได้จากชุดอักขระที่มีสัญลักษณ์ "N" ตัว สามารถใช้สูตรดังนี้คือ
<math>L = {\left \lceil \frac {H}{\log_2 N} \right \rceil}</math>
โดย <math> \left \lceil \ \right \rceil </math> หมายถึงฟังก์ชันเพดาน คือ
การปัดเศษขึ้นให้เลขเป็นจำนวนเต็ม
ตารางต่อไปนี้ใช้สูตรดังว่าเพื่อแสดงจำนวนสัญลักษณ์ในรหัสผ่านที่สร้างขึ้นโดยสุ่มจริง#เปลี่ยนทาง ๆ เพื่อให้ได้เอนโทรปีตามที่ต้องการ โดยใช้ชุดสัญลักษณ์ที่สามัญ 
รหัสผ่านที่มนุษย์สร้าง.
ปกติรู้ได้เลยว่ามนุษย์สร้างรหัสผ่านให้มีเอนโทรปีอันสมควรได้แย่มาก
งานศึกษากับคนครึ่งล้านประเมินว่าเอนโทรปีโดยเฉลี่ยของรหัสผ่านอยู่ที่ 40.54#เปลี่ยนทาง บิต
ในงานวิเคราะห์รหัสผ่านยาว 8#เปลี่ยนทาง ตัว #เปลี่ยนทาง มีการใช้อักษร "e" 1.5 ล้านครั้ง อักษร "f" เพียงแค่ 250,000#เปลี่ยนทาง ครั้ง 
ถ้าเป็นการแจกแจงแบบเอกรูปจริง ๆ อักษรแต่ละตัวก็ควรจะใช้ 900,000#เปลี่ยนทาง ครั้ง 
เลขที่ใช้มากที่สุดคือ 1 อักษรที่ใช้มากที่สุดคือ a, e, o และ r
ผู้ใช้มักจะไม่ใช้อักษรชุดใหญ่กว่านี้เพื่อสร้างรหัสผ่านให้ปลอดภัยยิ่งขึ้น
ยกตัวอย่างเช่น การฟิชชิงเว็บไซต์ MySpace ในปี#เปลี่ยนทาง 2006 มีผลให้แฮ็กได้รหัสผ่าน 34,000 รหัส แต่มีเพียงร้อยละ#เปลี่ยนทาง 8.3 เท่านั้นที่ใช้อักษรตัวเล็กตัวใหญ่ ตัวเลขและสัญลักษณ์
ความแข็งแกร่งจากการใช้ชุดอักขระแอสกีทั้งหมด (คือตัวเลข อักษรเล็กใหญ่ และอักษรพิเศษ) 
จะได้ก็ต่อเมื่ออักษรแต่ละตัวในรหัสผ่านอาจเป็นตัวใดก็ได้จากชุดอักขระโดยมีโอกาสเท่า#เปลี่ยนทาง ๆ กัน 
นี่ดูเหมือนจะบอกว่ารหัสผ่านควรจะมีอักษรจากกลุ่มอักษรต่าง#เปลี่ยนทาง ๆ ทุกกลุ่ม เช่น ตัวใหญ่ ตัวเล็ก ตัวเลข และสัญลักษณ์ที่เหลือ 
แต่การบังคับให้มีรูปแบบกลับทำให้เดาได้ง่ายแล้วถูกแฮ็กได้ง่ายขึ้น 
เป็นการลดความแข็งแกร่งของรหัสผ่าน 
ข้อบังคับที่ดีกว่าก็คือให้ใช้รหัสผ่านที่ไม่มีในพจนานุกรม ไม่ใช่ชื่อ ไม่ใช่รูปแบบเลขทะเบียนรถ เป็นต้น
ถ้าบังคับให้ใช้รูปแบบ มนุษย์ก็มักจะใช้รูปแบบที่คาดเดาได้ เช่น ในภาษาอังกฤษ อักษรตัวแรกจะเป็นตัวใหญ่ ข้างหลังเติมตัวเลข #เปลี่ยนทาง แล้วตามด้วยอักษรพิเศษ 
การคาดเดาได้เช่นนี้จึงหมายความว่า การใช้กลุ่มอักษรต่าง#เปลี่ยนทาง ๆ ก็จะเพิ่มความแข็งแกร่งเพียงเล็กน้อย
เมื่อเทียบกับการใช้รหัสผ่านสุ่มที่เพิ่มความแข็งแกร่งยิ่งกว่า
การใช้งานได้และการทำให้เกิดผล.
เพราะคีย์บอร์ดในประเทศต่าง#เปลี่ยนทาง ๆ อาจจะต่าง#เปลี่ยนทาง ๆ กัน ดังนั้น ชุดอักขระแอสกีที่แสดงผลได้ 94#เปลี่ยนทาง ตัว บางทีก็อาจจะใช้ไม่ได้ทุกที่ 
ซึ่งเป็นปัญหากับ#เปลี่ยนทาง ไปต่างประเทศ ผู้ต้องลงชื่อเข้าบัญชีในระบบประเทศของตนโดยใช้คีย์บอร์ดประจำพื้นที่ 
อุปกรณ์มือถือเป็นจำนวนมากเช่น แท็บเล็ตคอมพิวเตอร์และสมาร์ทโฟน ต้องใช้ปุ่มเปลี่ยนแป้นที่ซับซ้อน หรือไม่ก็จะต้องเปลี่ยนแอปเพื่อให้ใส่อักษรพิเศษได้ 
โปรแกรมพิสูจน์ตัวจริงจะต่าง#เปลี่ยนทาง ๆ กันในเรื่องอักขระที่อนุญาตให้ใช้ในรหัสผ่าน
บางอย่างจะปฏิบัติต่ออักษรเล็กใหญ่เท่ากัน บางอย่างไม่ยอมรับสัญลักษณ์บางอย่าง 
ในทศวรรษที่ผ่าน#เปลี่ยนทาง ๆ มา ระบบมักจะยอมรับตัวอักษรในรหัสผ่านได้เพิ่มขึ้น แต่ก็ยังอาจจำกัดอยู่ดี 
อนึ่ง ความยาวของรหัสผ่านที่อนุญาตยังต่าง#เปลี่ยนทาง ๆ กันอีกด้วย 
เมื่อนำไปปฏิบัติ รหัสผ่านจะต้องดูพอสมเหตุสมผลและพอใช้ได้สำหรับผู้ใช้ โดยยังต้องแข็งแกร่งพอ 
รหัสผ่านที่ยากเกินไปก็จะจำไม่ได้ ดังนั้น จึงต้องเขียนบันทึกไว้ ซึ่งบางท่านพิจารณาว่าเสี่ยงต่อความมั่นคง
บางท่านก็อ้างว่าการบังคับให้ผู้ใช้ต้องจำรหัสผ่านโดยไม่มีตัวช่วย ก็จะทำให้ได้แต่รหัสผ่านที่อ่อนแอ ดังนั้น จึงเสี่ยงต่อความมั่นคงยิ่งกว่า 
ตามผู้เขียนโปรแกรมจัดการรหัสผ่านเป็นคนแรกคือ บรูซ ชไนเออร์ คนโดยมากรักษาความปลอดภัยของกระเป๋าตังค์ของตนได้ ดังนั้น จึงเป็นที่เก็บรหัสผ่านที่ดี
บิตเอนโทรปีตามความจำเป็น.
บิตเอนโทรปีอย่างต่ำสุดที่จำเป็นจะขึ้นอยู่กับโมเดลการคุกคาม (threat model) ของแอปนั้น#เปลี่ยนทาง ๆ
แต่ถ้าไม่ขยายกุญแจก็จะต้องใช้รหัสผ่านที่มีเอนโทรปีสูงกว่า
เอกสารขอความเห็นปี#เปลี่ยนทาง 2005 ยกตัวอย่างโมเดลการคุกคามกับเอนโทรปีที่จำเป็นแต่ละอย่าง#เปลี่ยนทาง ๆ
แล้วได้คำตอบว่าต้องมีเอนโทรปี 29#เปลี่ยนทาง บิตถ้าต้องรับมือกับการโจมตีทางออนไลน์เท่านั้น 
และมีถึง 96#เปลี่ยนทาง บิตสำหรับใช้เป็นกุญแจในโปรแกรมเข้ารหัสลับเมื่อกุญแจที่ว่าต้องมั่นคงในระยะยาวและไม่ได้ขยาย
ในปี#เปลี่ยนทาง 2010 สถาบันการวิจัยจอร์เจียเทคทำการศึกษาเรื่องกุญแจที่ไม่ขยาย แล้วแนะนำให้ใช้รหัสผ่านสุ่มที่มีอักษร 12#เปลี่ยนทาง ตัวเป็นอย่างต่ำ
ควรเข้าใจด้วยว่าเพราะคอมพิวเตอร์เร็วขึ้นเรื่อย#เปลี่ยนทาง ๆ ดังนั้น เพื่อจะป้องกันการโจมตีแบบออฟไลน์ บิตเอนโทรปีก็จะต้องเพิ่มขึ้นเรื่อย#เปลี่ยนทาง ๆ เช่นกัน 
ค่าสูงจะใช้กับข้อบังคับที่เข้มงวดเมื่อเลือกกุญแจสำหรับเข้ารหัสลับ
ในปี#เปลี่ยนทาง 1999 โปรเจ็กต์ EFF DES cracker แฮ็กการเข้ารหัสแบบ DES ขนาด 56#เปลี่ยนทาง บิตได้โดยไม่ถึงวันเมื่อใช้ฮาร์ดแวร์ที่ออกแบบเป็นพิเศษ
ในปี#เปลี่ยนทาง 2002 "distributed.net" แฮ็กกุญแจ 64#เปลี่ยนทาง บิตภายใน 4#เปลี่ยนทาง ปี 9#เปลี่ยนทาง เดือนและ 23#เปลี่ยนทาง วัน
ในปี#เปลี่ยนทาง 2011 "distributed.net" ประเมินว่า การแฮ็กกุญแจ 72#เปลี่ยนทาง บิตโดยใช้ฮาร์ดแวร์ปัจจุบันจะใช้เวลา 45,579#เปลี่ยนทาง วันหรือ 124.8#เปลี่ยนทาง ปี
เมื่ออาศัยความรู้ความเข้าใจในข้อจำกัดของฟิสิกส์พื้นฐานปัจจุบัน คาดว่าจะไม่มีคอมพิวเตอร์ดิจิตัล (หรือเครือข่ายคอมพิวเตอร์) ที่สามารถแฮ็กการเข้ารหัสลับขนาด 256#เปลี่ยนทาง บิตโดยใช้กำลัง
แต่คอมพิวเตอร์ควอนตัมจะสามารถทำได้หรือไม่ก็ยังไม่ชัดเจน แม้การวิเคราะห์ทางทฤษฎีแสดงว่าอาจเป็นไปได้
รหัสผ่านที่เข้มแข็ง.
แนวทางสามัญ.
แนวทางในการเลือกรหัสผ่านที่ดีปกติจะออกแบบให้เดารหัสผ่านได้ยากแม้เมื่อผู้โจมตีจะรู้ว่าผู้ใช้ได้สร้างรหัสผ่านอย่างไร
แนวทางสามัญที่องค์กรต่าง#เปลี่ยนทาง ๆ เสนอรวมทั้ง
แม้การบังคับให้ใช้อักษรตัวเล็กตัวใหญ่ ตัวเลข และสัญลักษณ์ในรหัสผ่านจะเป็นนโยบายที่สามัญ แต่จริง#เปลี่ยนทาง ๆ พบว่า นี่ลดความมั่นคงของรหัสผ่าน ทำให้เจาะเอาได้ง่ายกว่า 
โดยงานวิจัยแสดงว่าการใช้อักษรต่าง ๆ ตามที่ว่าสามารถเดาได้ง่าย
ในสหรัฐและสหราชอาณาจักร
เจ้าหน้าที่ด้านความมั่นคงทาง#เปลี่ยนทาง ของรัฐแนะนำไม่ให้บังคับใช้นโยบายรหัสผ่านตามที่ว่า 
สัญลักษณ์ที่ซับซ้อนยังทำให้รหัสผ่านจำได้ยากยิ่งกว่า ซึ่งทำให้ต้องเขียนบันทึกเพิ่มขึ้น ตั้งรหัสผ่านใหม่บ่อยขึ้น ใช้รหัสผ่านซ้ำ#เปลี่ยนทาง ๆ กันยิ่งขึ้น ทั้งหมดล้วนแต่ลดความมั่นคง จริง ๆ ไม่ได้เพิ่ม 
ต่อมาผู้แต่งกฎเกณฑ์ความซับซ้อนของรหัสผ่านจึงขอโทษและยอมรับว่ากฎที่ตั้งขึ้นลดความมั่นคงลงดังที่งานวิจัยได้พบ 
ซึ่งเป็นสิ่งที่สื่อรายงานอย่างกว้างขวางในปี#เปลี่ยนทาง 2017
นักวิจัยความมั่นคงออนไลน์
และที่ปรึกษาต่าง#เปลี่ยนทาง ๆ ต่างก็สนับสนุนข้อเปลี่ยนแปลงดังกล่าว
ว่าเป็นคำแนะนำการปฏิบัติที่ดีสุดในเรื่องรหัสผ่าน 
มีแนวทางปฏิบัติบางอย่างที่แนะนำไม่ให้เขียนบันทึกรหัสผ่าน แต่แนวทางอื่น#เปลี่ยนทาง ๆ ก็ให้ข้อสังเกตว่าผู้ใช้มักจะมีรหัสผ่านจำนวนมาก ดังนั้นจึงแนะนำให้เขียนรหัสผ่านเมื่อเก็บไว้ในที่ปลอดภัย 
ไม่ใช่ติดไว้กับจอภาพ หรือไว้ในลิ้นชักที่ไม่ได้ล็อก
ศูนย์ความมั่นคงไซเบอร์แห่งชาติสหราชอาณาจักรแนะนำให้ใช้โปรแกรมจัดการรหัสผ่าน
เว็บไซต์หรือคีย์บอร์ดอาจจำกัดชุดอักขระที่ใช้ได้กับรหัสผ่าน
ตัวอย่างรหัสผ่านที่อ่อนแอ.
เหมือนกับวิธีป้องกันความปลอดภัยอื่น#เปลี่ยนทาง ๆ รหัสผ่านจะแข็งแกร่งไม่เท่ากัน 
บางรหัสก็จะอ่อนแอกว่า
ยกตัวอย่างเช่น การแฮ็กคำในพจนานุกรม กับการแฮ็กคำที่ทำให้ยุ่งเหยิงขึ้นบ้าง (เช่น แทนที่อักษรด้วยตัวเลขซึ่งเป็นวิธีการที่สามัญอย่างหนึ่ง)
อาจจะต้องใช้เวลาเพิ่มขึ้นเพียงไม่กี่วินาที จึงไม่ได้เพิ่มความแข็งแกร่งอะไร 
ตัวอย่างด้านล่างแสดงวิธีการสร้างรหัสผ่านที่อ่อนแอซึ่งล้วนแต่มีรูปแบบง่าย#เปลี่ยนทาง ๆ ทำให้ได้รหัสผ่านที่มีเอนโทรปีต่ำ ซึ่งสามารถเจาะได้ง่าย#เปลี่ยนทาง ๆ
มีเหตุอื่น#เปลี่ยนทาง ๆ อีกที่ทำให้รหัสผ่านอ่อนแอ
ขึ้นอยู่กับการโจมตีว่ามีประสิทธิภาพแค่ไหน 
หลักสำคัญก็คือรหัสผ่านควรจะมีเอนโทรปีสูง ซึ่งทั่วไปก็คือความสุ่มของรหัสผ่าน ไม่ควรได้มาจากรูปแบบที่เหมือนกับฉลาด ไม่ควรมีข้อมูลระบุผู้ใช้ 
อนึ่ง บริการออนไลน์มักจะมีวิธีการกู้บัญชี ซึ่งถ้ามีจุดอ่อนและผู้โจมตีรู้วิธีก็อาจจะไม่ต้องพยายามแฮ็กรหัสผ่านเลย 
แนวทางรหัสผ่านใหม่.
บทความปี#เปลี่ยนทาง 2012 ในวารสารสมาคมคอมพิวเตอร์เอซีเอ็มเน้นให้ใช้ตัวอักษรตัวเล็ก ตัวใหญ่ และตัวเลข มีอักษร 8#เปลี่ยนทาง ตัวหรือยิ่งกว่า
เพราะรหัสผ่านดังว่าสามารถทนการพยายามเดาเป็น #เปลี่ยนทาง ได้นานถึง 252#เปลี่ยนทาง วัน 
แต่จริง#เปลี่ยนทาง ๆ ถ้าใช้หน่วยประมวลผลกราฟิกส์ในเวลานั้นทำการ ก็จะใช้เวลาเพียงแค่ #เปลี่ยนทาง โดยมีอัตราเดารหัสผ่านที่ #เปลี่ยนทาง 
ส่วนรหัสผ่านที่ยาว #เปลี่ยนทาง ก็จะสามารถทนการพยายามเดาได้ถึง 900,000#เปลี่ยนทาง ปี
ถ้าใช้เทคโนโลยีปี#เปลี่ยนทาง 2023 มาตรฐานรหัสผ่านตัวเล็ก ตัวใหญ่และตัวเลข 8#เปลี่ยนทาง ตัว จะสามารถเดาได้ในไม่กี่ชั่วโมง 
รหัสผ่านยาว 13#เปลี่ยนทาง ตัวอักษรจะใช้เวลาเดาเพียงไม่กี่ปี 
ดังนั้นจึงต้องเปลี่ยนความคิดใหม่ 
ปัจจุบันแนะนำให้ใช่รหัสผ่านที่มีตัวอักษร #เปลี่ยนทาง 
โดยยังต้องเพิ่มใช้วิธีการพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่างเป็นตัวเสริมความมั่นคงด้วย 
การสร้างโปรแกรมจัดการรหัสผ่านและการนำมาใช้อย่างแพร่หลาย ยังช่วยผู้ใช้ให้สามารถสร้างและเก็บรักษารหัสผ่านที่ยาว แข็งแกร่ง และใช้กับบัญชีหรือแอปเดี่ยว#เปลี่ยนทาง ๆ
นโยบายรหัสผ่าน.
นโยบายรหัสผ่านเป็นแนวทางการเลือกรหัสผ่านที่ดีพอ 
โดยมีจุดประสงค์ 
นโยบายรหัสผ่านก่อน#เปลี่ยนทาง ๆ มักจะระบุกลุ่มอักษรซึ่งรหัสผ่านจะต้องมี เช่น ตัวเลข สัญลักษณ์ ตัวเล็ก ตัวใหญ่ 
แม้จะยังมีใช้อยู่ แต่งานวิจัยก็ได้ชี้แล้วว่า เป็นข้อบังคับที่ไม่ปลอดภัย
ผู้เริ่มตั้งนโยบายนี้ดั้งเดิมก็เห็นด้วย
ทั้งองค์กรความมั่นคงทางไซเบอร์ของสหรัฐและสหราชอาณาจักรก็เห็นด้วย
กฎความซับซ้อนรหัสผ่านโดยมีสัญลักษณ์ที่บังคับใช้ แพลตฟอร์มหลัก#เปลี่ยนทาง ๆ เช่น กูเกิล 
เฟซบุ๊ก
ก่อนหน้านี้ก็เคยใช้ 
แต่ต่อมาก็เลิกหลังพบว่าจริง#เปลี่ยนทาง ๆ ลดความมั่นคงเพราะมนุษย์กลับสร้างความเสี่ยงเพิ่ม 
การบังคับเรื่องความซับซ้อนจึงทำให้รหัสผ่านมีรูปแบบที่เดาได้ง่ายมาก เช่น ใส่ตัวเลขด้านหลังรหัสผ่าน ใช้เลข 3 แทนอักษร E เป็นต้น จึงทำให้เจาะได้ง่าย 
ดังนั้น นโยบายปัจจุบันจึงแนะนำให้ใช้รหัสผ่านที่ตัวอักษรไม่ซับซ้อนแต่ยาว (เป็นพาสเฟรซ) 
กฎบังคับให้ซับซ้อนยังเพิ่มค่าใช้จ่ายในการสนับสนุนผู้ใช้ ทำความรำคาญให้ผู้ใช้ และเป็นอุปสรรคไม่ให้ผู้ใช้เปิดบัญชี 
นโยบายให้รหัสผ่านหมดอายุที่เคยใช้ก็พบว่าไม่ดีเหมือนกัน
ซึ่งต่อมารัฐบาลสหรัฐและสหราชอาณาจักรรวมทั้งบริษัทไมโครซอฟต์ก็เลิกใช้ทั้งหมด
การมีวันหมดอายุเคยคิดว่ามีประโยชน์ดังนี้
แต่การหมดอายุของรหัสผ่านกลับมีข้อเสียว่า
การสร้างและบริหารรหัสผ่าน.
รหัสผ่านซึ่งเจาะได้ยากที่สุดสำหรับชุดอักขระและความยาวหนึ่ง#เปลี่ยนทาง ๆ จะเป็นสายอักขระที่เลือกอักษรโดยสุ่ม
ถ้ายาวพอก็จะทนต่อการโจมตีด้วยกำลังเพราะมีอักษรหลายตัว และการโจมตีแบบเดาเพราะมีค่าเอนโทรปีสูง
แต่ก็จะจำได้ยาก 
ดังนั้น การบังคับจะเพิ่มโอกาสให้ผู้ใช้เขียนบันทึกรหัสผ่าน เก็บไว้ในอุปกรณ์เคลื่อนที่ หรือแชร์กับคนอื่น#เปลี่ยนทาง ๆ เพื่อกันการจำไม่ได้ 
แม้บางคนจะพิจารณาว่าวิธีการจำรหัสผ่านเหล่านี้เพิ่มความเสี่ยงทางความมั่นคง คนอื่น#เปลี่ยนทาง ๆ ก็คิดว่า เป็นไปไม่ได้ที่จะหวังให้ผู้ใช้จำรหัสผ่านที่ซับซ้อนสำหรับบัญชีที่มีเป็นโหล#เปลี่ยนทาง ๆ 
ยกตัวอย่างเช่นในปี#เปลี่ยนทาง 2005 ผู้เชี่ยวชาญทางความมั่นคง #เปลี่ยนทาง #เปลี่ยนทาง แนะนำให้เขียนบันทึกรหัสผ่านดังนี้
<templatestyles src="Template:Blockquote/styles.css" /> กล่าวง่าย#เปลี่ยนทาง ๆ ก็คือ เราไม่สามารถจำรหัสผ่านที่ดีพอเพื่อป้องกันการโจมตีด้วยพจนานุกรม แต่จะปลอดภัยกว่าถ้าเลือกรหัสผ่านซึ่งยากเกินที่จะจำได้แล้วเขียนบันทึก เราทุกคนสามารถเก็บกระดาษชิ้นเล็ก#เปลี่ยนทาง ๆ ให้ปลอดภัยได้ดี ผมแนะนำให้ทุกคนเขียนรหัสผ่านของตนในกระดาษชิ้นเล็ก#เปลี่ยนทาง ๆ แล้วเก็บไว้กับกระดาษที่มีค่าชิ้นเล็กอื่น#เปลี่ยนทาง ๆ คือในกระเป๋าตังค์
วิธีการต่าง#เปลี่ยนทาง ๆ ดังต่อไปนี้อาจเพิ่มการยอมรับใช้รหัสผ่านที่แข็งแกร่งได้ถ้าดำเนินการอย่างระมัดระวัง 
วิธีการจำ.
นโยบายรหัสผ่านบางครั้งจะแนะนำวิธีการจำรหัสผ่าน 
โปรแกรมจัดการรหัสผ่าน.
วิธีการผ่อนผันการบันทึกรหัสผ่านก็คือให้เก็บไว้ในโปรแกรมจัดการรหัสผ่าน ซึ่งอาจรวมแอปต่างหาก รวมส่วนขยายเว็บบราวเซอร์ หรือเป็นตัวเก็บรหัสผ่านของระบบปฏิบัติการเอง
นี่ทำให้ผู้ใช้สามารถมีรหัสผ่านเป็นร้อย#เปลี่ยนทาง ๆ โดยต้องจำรหัสผ่านเพียงแค่รหัสเดียว คือที่ใช้เปิดฐานข้อมูลที่เข้ารหัสลับไว้
ดังนั้น จึงควรสร้างรหัสผ่านเดี่ยวนี้ให้แข็งแกร่งและเก็บรักษาไว้เป็นอย่างดี 
โปรแกรมบางอย่างมีตัวสร้างรหัสผ่านสุ่มที่มั่นคงตามหลักวิทยาการเข้ารหัสลับ โดยบางตัวก็คำนวณค่าเอนโทรปีของรหัสผ่านที่สร้างได้ด้วย 
โปรแกรมที่ดีจะมีการป้องกันที่ทนทานต่อการโจมตีต่าง#เปลี่ยนทาง ๆ เช่น การบันทึกแป้นพิมพ์ การบันทึกคลิปบอร์ด และการสอดแนมดูข้อมูลความจำของคอมพิวเตอร์โดยวิธีต่าง#เปลี่ยนทาง ๆ 
เชิงอรรถและอ้างอิง.
<templatestyles src="Reflist/styles.css" />