تولید پسورد قوی و تصادفی

خیر. صفحه یک بار از سرور ایران‌کلاد بارگذاری می‌شود، اما ساخت پسورد به‌طور کامل با جاوااسکریپت داخل مرورگر شما انجام می‌شود. کد این ابزار هیچ درخواست شبکه‌ای نمی‌فرستد، فرمی به سرور ارسال نمی‌کند و پسورد را نه در کوکی یا حافظهٔ مرورگر ذخیره می‌کند و نه در آدرس صفحه قرار می‌دهد. با بستن یا تازه کردن صفحه، پسورد قبلی از بین می‌رود.

علاوه بر این، سیاست امنیتی محتوای سایت ما به اسکریپت‌های صفحه اجازهٔ ارسال داده به دامنه‌های دیگر را نمی‌دهد. اگر بخواهید خودتان مطمئن شوید، ابزار توسعه‌دهندهٔ مرورگر را باز کنید، به زبانهٔ Network بروید و چند بار دکمهٔ «پسورد جدید» را بزنید؛ هیچ درخواستی ثبت نمی‌شود. حتی می‌توانید بعد از بارگذاری صفحه اینترنت را قطع کنید و ابزار همچنان کار می‌کند.

تنها جایی که پسورد از صفحه بیرون می‌رود، کلیپ‌بورد سیستم شماست، آن هم وقتی دکمهٔ کپی را بزنید. اگر نرم‌افزار مدیریت کلیپ‌بورد یا همگام‌سازی کلیپ‌بورد بین دستگاه‌ها دارید، بدانید که رمز در تاریخچهٔ آن هم ثبت می‌شود.

قدرت یک پسورد تصادفی را با آنتروپی و بر حسب بیت می‌سنجند؛ یعنی تعداد حالت‌هایی که مهاجم باید امتحان کند. هر کاراکتر از مجموعهٔ پیش‌فرض این ابزار با ۸۲ کاراکتر حدود ۶٫۴ بیت آنتروپی دارد. هر ۱۰ بیت اضافه، کار مهاجم را حدود هزار برابر سخت‌تر می‌کند. اعداد جدول برای پسوردی است که واقعاً تصادفی ساخته شده باشد، نه پسوردی که انسان انتخاب کرده است. ابزار همین محاسبه را برای تنظیمات فعلی شما زیر پسورد نشان می‌دهد؛ وقتی گزینهٔ «از هر گروه دست‌کم یک نویسه» روشن است، رمزهایی که یک گروه را ندارند کنار گذاشته می‌شوند و عدد نمایش‌داده‌شده کمی کمتر از ضرب سادهٔ طول در آنتروپی هر کاراکتر است.

برای رمز حساب‌هایی که در مدیریت‌کنندهٔ رمز ذخیره می‌شوند، همان تنظیم پیش‌فرض یعنی ۲۰ کاراکتر با همهٔ گروه‌ها بهترین انتخاب است. برای رمز دیتابیس یا رمزی که در فایل تنظیمات و رشتهٔ اتصال قرار می‌گیرد، طول را به ۳۲ برسانید و علامت‌ها را خاموش کنید؛ چون کاراکترهایی مثل @، :، / و # داخل آدرس اتصال دیتابیس معنای خاص دارند و باید رمزگذاری شوند.

برای رمزهایی که باید گاهی دستی تایپ شوند، مثل رمز Wi-Fi یا ورود به کنسول، کاراکترهای مشابه را حذف‌شده نگه دارید و به‌جای علامت‌های زیاد، طول را بیشتر کنید. یک رمز ۲۴ کاراکتری از حروف و اعداد هم قوی است و هم با صفحه‌کلید گوشی راحت‌تر وارد می‌شود.

یک نکته دربارهٔ خط فرمان: علامت‌هایی مثل $ و ! و & در bash معنای خاص دارند. اگر رمز را در دستور یا اسکریپت می‌نویسید، آن را بین دو کوتیشن تکی بگذارید یا از متغیر محیطی و فایل جداگانه استفاده کنید تا در تاریخچهٔ shell هم ثبت نشود.

عبارت عبور یعنی چند کلمهٔ تصادفی پشت سر هم، مثل چهار یا پنج واژه که با خط تیره جدا شده‌اند. اگر کلمه‌ها واقعاً تصادفی از یک فهرست بزرگ انتخاب شوند، عبارت عبور هم قوی است و هم به خاطر سپردنش آسان‌تر از رشته‌ای مثل kX9#mP2q است. نقطهٔ ضعف آن وقتی است که خود انسان کلمه‌ها را انتخاب کند؛ جمله‌های معروف، شعر و نام‌ها در فهرست‌های حمله وجود دارند.

قاعدهٔ ساده‌ای که پیشنهاد می‌کنیم: رمزهایی را که باید حفظ کنید، مثل رمز اصلی مدیریت‌کنندهٔ رمز یا رمز ورود به لپ‌تاپ، به‌صورت عبارت عبور طولانی بسازید. همهٔ رمزهای دیگر، یعنی رمز سایت‌ها، سرورها، دیتابیس‌ها و سرویس‌ها، را با همین ابزار به‌صورت رشتهٔ تصادفی بسازید و در مدیریت‌کنندهٔ رمز نگه دارید. به این ترتیب فقط یک یا دو رمز در ذهن شماست و بقیه هیچ ارتباطی با هم ندارند.

هنگام سفارش سرور ابری سه روش ورود دارید: فقط رمز، فقط کلید SSH یا هر دو. اگر رمز را انتخاب کنید و رمز دلخواه وارد نکنید، سیستم خودش یک رمز ۳۲ کاراکتری تصادفی می‌سازد. رمز دلخواه باید حداقل ۱۲ کاراکتر و شامل دست‌کم یک حرف انگلیسی (A تا Z) و یک رقم لاتین (0 تا 9) باشد؛ حروف و ارقام فارسی برای این شرط حساب نمی‌شوند. رمز به‌صورت رمزنگاری‌شده نگهداری می‌شود و فقط یک بار از صفحهٔ سرور در پنل قابل مشاهده است؛ پس از نمایش، از پنل پاک می‌شود.

اگر بعداً رمز root را از پنل عوض کنید، رمز جدید هم باید حداقل ۱۲ کاراکتر باشد و نسخهٔ ذخیره‌شدهٔ قبلی از پنل پاک می‌شود؛ یعنی از آن به بعد نگهداری رمز فقط با خود شماست. اینجا جایی است که این ابزار به کار می‌آید: یک رمز ۲۰ تا ۳۲ کاراکتری بسازید و مستقیم در مدیریت‌کنندهٔ رمز ذخیره کنید.

برای سرورهای واقعی، ورود با کلید SSH را به رمز ترجیح می‌دهیم. کلید ed25519 حدس‌زدنی نیست، قابل فیشینگ نیست و می‌توانید ورود با رمز را کاملاً خاموش کنید. رمز قوی را برای کنسول اضطراری و sudo نگه دارید.

اگر چند نفر روی یک سرور کار می‌کنند، برای هر نفر کاربر جداگانه با کلید خودش بسازید و رمز root را بین اعضای تیم پخش نکنید. وقتی همکاری از تیم جدا می‌شود، کافی است کلید او را حذف کنید؛ بدون اینکه رمز مشترک همه را عوض کنید. این روش در لاگ‌های ورود هم مشخص می‌کند هر تغییر را چه کسی انجام داده است.

حتی بهترین پسورد هم اگر بد نگهداری شود بی‌فایده است. بیشتر نشت‌هایی که در عمل می‌بینیم ربطی به ضعف الگوریتم ندارند؛ رمز جایی کپی شده که نباید، یا یک رمز برای چند جا استفاده شده و نشت یک سایت قدیمی، سرور جدید را هم باز کرده است. این اشتباه‌ها را بیشتر از همه می‌بینیم:

اگر روی سرور هستید و مرورگر در دسترس نیست، این دستورها از همان منبع تصادفی امن سیستم‌عامل استفاده می‌کنند. خروجی هر کدام را مستقیم در فایل تنظیمات یا مدیریت‌کنندهٔ رمز قرار دهید و از چاپ آن در لاگ‌ها پرهیز کنید.

برای ساخت هش یک رمز یا فایل از ابزار هش و برای ساخت شناسهٔ یکتا از تولید UUID استفاده کنید. توجه کنید شناسهٔ UUID برای شناسه ساخته شده و جایگزین مناسبی برای رمز یا کلید API نیست.

پسورد تصادفی ۲۰ کاراکتری قرار نیست حفظ شود. جای درست آن یک مدیریت‌کنندهٔ رمز است؛ نرم‌افزاری که همهٔ رمزها را با یک رمز اصلی قوی رمزنگاری می‌کند. برای تیم‌ها، مدیریت‌کنندهٔ رمز اشتراکی با دسترسی تفکیک‌شده بهتر از فایل مشترک یا گروه پیام‌رسان است. اگر می‌خواهید آن را روی زیرساخت خودتان اجرا کنید، Vaultwarden را می‌توانید روی سرور شخصی نصب کنید.

رمز اصلی مدیریت‌کنندهٔ رمز تنها رمزی است که باید حفظ کنید؛ برای آن عبارت عبور چندکلمه‌ای طولانی بهتر از رشتهٔ تصادفی کوتاه است. هر جا امکانش هست، ورود دومرحله‌ای را هم فعال کنید تا لو رفتن رمز به‌تنهایی به دسترسی منجر نشود.

وقتی گزینهٔ «از هر گروه دست‌کم یک نویسه» روشن است، ابزار تضمین می‌کند که از هر گروه انتخاب‌شده حتماً یک کاراکتر در رمز باشد: اگر رمز کشیده‌شده گروهی را نداشته باشد، کل رمز کنار گذاشته و دوباره ساخته می‌شود تا توزیع رمزها یکنواخت بماند. با خاموش کردن این گزینه هر کاراکتر کاملاً مستقل انتخاب می‌شود. محدودیت واقعی ابزار مجموعهٔ علامت‌هاست که ثابت است؛ نمی‌توانید علامت خاصی را حذف یا اضافه کنید، پس اگر سرویسی علامتی را نمی‌پذیرد، علامت‌ها را خاموش و طول را بیشتر کنید.

وقتی رمز آماده شد، وقت راه‌اندازی سرویس است. سرور ابری ایران‌کلاد با پرداخت ساعتی از ۱٬۱۰۰ تومان در ساعت برای پلن mini شروع می‌شود و با فایروال فعال تحویل داده می‌شود. اگر دیتابیس لازم دارید، MySQL مدیریت‌شده رمز امن و بکاپ را برای شما مدیریت می‌کند.