Kokio ilgio turėtų būti slaptažodis 2026 m.?

Šis straipsnis atsako, kokio ilgio turėtų būti slaptažodis 2026 m. Jis remiasi galiojančiomis NIST SP 800-63-4 / SP 800-63B tikrintojų taisyklėmis ir viešu CISA patarimu. Tai ne visas kibernetinio saugumo vadovas.

Taigi, kokio ilgio turėtų būti mano slaptažodis?

Jei slaptažodžių tvarkytuvė gali jį išsaugoti, sugeneruokite unikalų atsitiktinį 16+ simbolių slaptažodį. Naudokite ilgesnę atsitiktinę eilutę, kai paslauga tai leidžia. Jei turite jį įsiminti, ilga slaptafrazė dažnai praktiškesnė už trumpą eilutę su priverstiniais keitimais. 16 nėra neįveikiamas, o 15 nėra garantija.

Ko NIST reikalauja 2026 m.?

NIST SP 800-63-4 sako tikrintojams, ko reikalauti—ne asmeninis šūkis. Vieno veiksnio slaptažodis turi turėti bent 15 simbolių. Jei naudojamas tik kaip MFA dalis, jis gali būti trumpesnis, bet minimumas vis tiek yra 8. Tikrintojai SHOULD priimti bent 64 simbolius. SHALL NOT reikalauti priverstinio simbolių tipų derinio ir SHALL NOT versti periodinių keitimų be kompromitavimo įrodymų. Įprasti ar nutekėję slaptažodžiai turėtų būti blokuojami.

Ką rekomenduoja CISA?

CISA vadovas Secure Our World paprastesnis: bent 16 simbolių, atsitiktiniai ir unikalūs, plius slaptažodžių tvarkytuvė. Tai neprieštarauja NIST. 15 yra vieno veiksnio tikrintojo reikalavimas; 16+ yra vieša CISA rekomendacija.

8 prieš 12 prieš 16 simbolių: ar ilgis tikrai svarbus?

Ilgis svarbus, bet skelbiami „nulaužimo laikai“ ne. Tie laikai keičiasi su aparatine įranga, maiša, atsitiktinumu, atakos modeliu ir tuo, kaip slaptažodis saugomas.

Ilgis	Praktinis požiūris
8	Per trumpas kaip bendra rekomendacija naujam vieno veiksnio slaptažodžiui. NIST leidžia 8 tik kaip minimumą, kai slaptažodis naudojamas tik kaip MFA dalis.
12	Geresnis už trumpus senus slaptažodžius, bet žemiau dabartinio NIST vieno veiksnio minimumo 15.
15	Dabartinis NIST vieno veiksnio minimumas tikrintojams.
16+	Atitinka paprastą viešą CISA rekomendaciją ir yra protinga pradžia sugeneruotiems slaptažodžiams.

Ar ilgis svarbesnis už sudėtingumą?

Dabartinis patarimas teikia pirmenybę pakankamam ilgiui ir geram pasirinkimui, o ne nuspėjamoms sudėties taisyklėms. Šablonas kaip įprastas žodis plius „1!“ gali likti atspėjamas net su maišytais tipais. Specialieji simboliai nėra nenaudingi: atsitiktinai sugeneruotame slaptažodyje platesnis rinkinys gali pridėti derinių. Esme yra atsitiktinumas, ilgis ir unikalumas.

Ilgas slaptažodis vis tiek gali būti silpnas

Ilga reikšmė vis tiek gali būti silpna, jei ji nuspėjama, įprasta frazė, pakartotinai naudojama ar paremta asmeniniais duomenimis. To paties simbolio kartojimas daug kartų yra ilgas, ne stiprus. Nenaudokite pakartotinai frazės, kurią visi jau žino.

Kodėl kiekviena paskyra turėtų turėti kitą slaptažodį

Jei viena paslauga nutekina slaptažodį, kurį naudojote pakartotinai, kitos paskyros, kurios jį dalijasi, rizikuoja. Kiekvienai paskyrai reikia savo slaptažodžio. Nutekėjusių porų bandymas kituose svetainėse (credential stuffing) įprastas. Unikalūs slaptažodžiai riboja tą žalą.

Ar turėtumėte naudoti slaptažodžių tvarkytuvę?

NIST prašo tikrintojų leisti slaptažodžių tvarkytuves ir automatinį pildymą. CISA taip pat rekomenduoja tvarkytuvę. Jums nereikia įsiminti unikalaus atsitiktinio slaptažodžio kiekvienai svetainei. Šis straipsnis nerekomenduoja konkretaus gaminio.

Slaptažodis ar slaptafrazė?

Jei tvarkytuvė saugo reikšmę, atsitiktinai sugeneruotas slaptažodis patogus. Jei turite jį prisiminti, ilga kelių žodžių slaptafrazė gali būti praktiškesnė. Venkite žinomų citatų, dainų tekstų, įprastų sakinių ir asmeninių detalių. Tai trumpa pastaba, ne visas slaptafrazių vadovas.

Ar slaptažodžiams reikia didžiųjų raidžių, skaičių ir simbolių?

NIST sako, kad tikrintojai SHALL NOT reikalauti simbolių tipų derinio. Svetainė, kuri verčia vieną didžiąją raidę, vieną skaičių ir vieną simbolį, nesilaiko tos krypties. Atsitiktinis generatorius vis tiek gali naudoti platų rinkinį, ir tai gerai. Simboliai nesilpnina slaptažodžių.

Ar turėtumėte keisti slaptažodžius kas 90 dienų?

NIST sako, kad tikrintojai SHALL NOT reikalauti savavališkų periodinių keitimų, nebent yra kompromitavimo įrodymų. Keiskite slaptažodį, jei jis nutekėjo, paskyra buvo kompromituota arba paslauga to prašo. Tai nėra „niekada nekeiskite slaptažodžių“.

Ar MFA daro slaptažodžio ilgį nesvarbų?

Ne. MFA prideda apsaugą. Ji nepadaro slaptažodžių higienos neprivaloma. NIST gali leisti 8 simbolių minimumą, kai slaptažodis naudojamas tik kaip MFA dalis. Tai ne bendra rekomendacija naudoti 8 simbolių slaptažodžius.

Ko ilgis negali sustabdyti

Labai ilgas slaptažodis nesustabdo kiekvienos atakos. Vien ilgis nesustabdo sukčiavimo, kenkėjiškos programinės įrangos ar keylogging, socialinės inžinerijos ar kompromituoto įrenginio. MFA, programinės įrangos atnaujinimai ir sukčiavimo sąmoningumas vis dar svarbūs. Šis straipsnis lieka prie slaptažodžio ilgio.

Paprastas slaptažodžio ilgio sprendimo vadovas

Reikia naujo paskyros slaptažodžio? Jei slaptažodžių tvarkytuvė gali jį išsaugoti, sugeneruokite unikalų atsitiktinį slaptažodį—16+ simbolių yra praktiška pradžia, ilgesnis, jei palaikoma. Jei turite jį įsiminti, naudokite ilgą unikalią slaptafrazę ir venkite įprastų frazių. Tada įjunkite MFA, kai ji prieinama.

• Reikia naujo paskyros slaptažodžio?
• ↓
• Ar slaptažodžių tvarkytuvė gali jį išsaugoti?
• Taip → unikalus atsitiktinis slaptažodis, 16+ (ilgesnis, jei leidžiama)
• Ne → ilga unikali slaptafrazė; venkite įprastų frazių
• ↓
• Įjunkite MFA, kai ji prieinama

Sugeneruokite ilgą, atsitiktinį slaptažodį naršyklėje

NEXNARA Slaptažodžių generatorius gali sukurti slaptažodį, slaptafrazę arba PIN. Šis straipsnis apie paskyrų slaptažodžius. PIN yra trumpesnė, kitokia paslaptis—ne ta pati rekomendacija.

Slaptažodžio veiksena: ilgis 4–128, numatytasis 16. Rinkitės simbolių klases, išskirkite dviprasmius simbolius arba išskirkite savus simbolius. Sugeneruokite 1, 5, 10 arba 20 reikšmių, tada kopijuokite arba atsisiųskite TXT failą.

Slaptafrazės veiksena naudoja didelį EFF anglų žodžių sąrašą (7776 žodžiai): 3–8 žodžiai, numatytasis 5, su skyrikliu, didžiosiomis raidėmis ir pasirenkamu skaičiumi.

Generavimas naudoja naršyklės kriptografiškai saugų atsitiktinių skaičių generatorių (crypto.getRandomValues), su 32 bitų atmetimo ėmimu ir saugiu maišymu. Math.random nenaudojamas. Rodoma entropija yra įvertis iš simbolių rinkinio ir ilgio (arba žodžių sąrašo dydžio ir žodžių skaičiaus), ne žmogaus slaptažodžio matavimas ir ne pažadas, kad jo negalima atspėti.

Pats generavimas vyksta jūsų naršyklėje. Reikšmės nesiunčiamos į NEXNARA serverį šiam įrankiui. Skelbimai ir kitos svetainės funkcijos vis tiek naudoja tinklą.

Reikia 16 simbolių atsitiktinio slaptažodžio pradžiai? Atidarykite Slaptažodžių generatorius ir sugeneruokite tokį, kurį išsaugosite, o ne naudosite pakartotinai.

FAQ

Kokio ilgio turėtų būti slaptažodis 2026 m.?

NIST reikalauja bent 15 simbolių vieno veiksnio slaptažodžiui. CISA rekomenduoja bent 16 atsitiktinių ir unikalių. 16+ sugeneruotų simbolių yra tvirta praktiška pradžia, kai paslauga tai leidžia. Tai nėra garantija.

Ar 12 simbolių slaptažodis pakankamai ilgas?

Jis geresnis už trumpą seną slaptažodį, bet žemiau dabartinio NIST 15 simbolių vieno veiksnio minimumo. Rinkitės 16+, kai galite.

Ar 16 simbolių slaptažodis saugus?

16 atsitiktinių unikalių simbolių yra protinga pradžia. Jis nėra automatiškai saugus. Nuspėjamos ar pakartotinai naudojamos 16 simbolių reikšmės lieka silpnos.

Ar ilgesni slaptažodžiai visada geresni?

Ilgesni atsitiktiniai unikalūs slaptažodžiai paprastai prideda derinių. Ilgesnė nuspėjama ar pakartotinai naudojama reikšmė nėra automatiškai geresnė.

Ar man reikia skaičių ir specialiųjų simbolių slaptažodyje?

NIST sako paslaugoms nereikalauti priverstinio derinio. Atsitiktinis generatorius vis tiek gali juos įtraukti. Simboliai nėra privalomi, kad būtų „stiprus“, ir jie nėra nenaudingi.

Ar turėčiau keisti slaptažodį kas 90 dienų?

NIST sako nereikalauti savavališkų periodinių keitimų be kompromitavimo įrodymų. Keiskite jį po nutekėjimo, kompromitavimo ar paslaugos įspėjimo—ne pagal tuščią 90 dienų kalendorių.