ดูต้นฉบับสำหรับ ความแข็งแกร่งของรหัสผ่าน

{{ใช้ปีคศ}}
[[ไฟล์:KeePass random password.png|thumb|250px|
ลูกเล่นของหน้าสร้างรหัสผ่านแบบสุ่มของ[[โปรแกรมจัดการรหัสผ่าน]] KeePass
การเพิ่มกลุ่มตัวอักษรจะเพิ่มความแข็งแกร่งของรหัสผ่านที่สร้างเพียงเล็กน้อย เทียบกับการเพิ่มจำนวนอักษรที่เพิ่มความเข้มแข็งยิ่งกว่า 
]]
'''ความแข็งแกร่งของรหัสผ่าน''' หรือ '''ความเข้มแข็งของรหัสผ่าน''' เป็นค่าวัดประสิทธิผลของ{{nowrap |[[รหัสผ่าน]]}}ในการต้านทานการคาดเดาหรือ[[การโจมตีด้วยกำลัง]] 
โดยทั่วไปแล้วจะประเมินจากจำนวนครั้งโดยเฉลี่ยที่ผู้โจมตีซึ่งไม่มีความรู้เกี่ยวกับรหัสผ่านโดยตรง จะต้องลองเพื่อให้เดารหัสผ่านได้อย่างถูกต้อง
ความแข็งแกร่งจะมีค่าตาม[[ฟังก์ชัน (คณิตศาสตร์)|ฟังก์ชัน]]ของจำนวน ความหลากหลาย และ{{nowrap |[[wikt:สุ่ม#คำกริยา|ความสุ่ม]]}}ของ[[ตัวอักษร]]<ref name=CERT>{{cite web | url = http://www.us-cert.gov/cas/tips/ST04-002.html | title = Cyber Security Tip ST04-002 | work = Choosing and Protecting Passwords | date = 2009-05-21 | publisher = US CERT | access-date = 2009-06-20 | url-status = live | archive-url = https://web.archive.org/web/20090707141138/http://www.us-cert.gov/cas/tips/ST04-002.html | archive-date = 2009-07-07 }}</ref>

การใช้รหัสผ่านที่เข้มแข็งย่อมลดความเสี่ยงของระบบไม่ให้ถูกบุกรุก แต่ก็ใช่ว่าจะ{{nowrap |ทดแทน}}การรักษาความปลอดภัยชนิดอื่น{{nbsp}}ๆ ได้<ref>{{Cite web | title = Why User Names and Passwords Are Not Enough {{!}} SecurityWeek.Com | url = https://www.securityweek.com/why-user-names-and-passwords-are-not-enough | access-date = 2020-10-31 | website = www.securityweek.com | date = 2019-01-31 }}</ref>
ประสิทธิผลของรหัสผ่านจะขึ้นอยู่กับการ{{nowrap |ออกแบบ}}และ[[การทำให้เกิดผล]]ของ[[ปัจจัยพิสูจน์ตัวจริง]]ต่าง{{nbsp}}ๆ รวมทั้งสิ่งที่[[ผู้ใช้ (ระบบ)|ผู้ใช้]]รู้ (เช่นรหัสผ่าน) สิ่งที่มี (เช่น กุญแจฮาร์ดแวร์) และสิ่งที่เป็น (เช่น ลายนิ้วมือ)
ปัจจัยแรกที่ว่าเป็นประเด็นหลักของ{{nowrap |บทความ}}นี้ 

อัตราที่ผู้โจมตีสามารถทดลองรหัสผ่านกับระบบเป็นปัจจัยหลักที่กำหนดความมั่นคง 
ระบบบางอย่างจึงมีการให้พักนอกเวลาเป็น[[วินาที]]{{nbsp}}ๆ หลังจากที่ใส่รหัสผ่านผิด{{nbsp}}ๆ เพียงไม่กี่ครั้ง (เช่น 3{{nbsp}}ครั้ง)
เมื่อไร้ความบกพร่องชนิดอื่น{{nbsp}}ๆ ระบบดังกล่าวก็จะสามารถรักษา{{nowrap |ความมั่นคง}}ด้วยรหัสผ่านที่ไม่ต้องซับซ้อนมาก 
อย่างไรก็ดี ระบบก็ยังต้องเก็บข้อมูลรหัสผ่านของผู้ใช้ในรูปแบบบางอย่าง ถ้าข้อมูลนั้นถูกขโมย ก็อาจเป็นปัจจัยให้รหัสผ่านถูกแฮ็กได้

ในปี{{nbsp}}2019 ศูนย์ความมั่นคงทางไซเบอร์แห่งชาติ[[สหราชอาณาจักร]] ได้วิเคราะห์{{nowrap |[[ฐานข้อมูล]]}}บัญชีรั่วไหลที่เป็นสาธารณะ เพื่อตรวจดูว่าผู้ใช้ใช้[[คำ]]หรือ[[วลี]]อะไรเป็นรหัสผ่านมากที่สุด 
ที่นิยมที่สุดก็คือ 123456 ซึ่งถูกแฮ็กมาแล้วถึง {{nowrap |23 ล้านครั้ง}} 
ที่นิยมเป็นอันดับสองก็คือ 123456789 ซึ่งก็เดาได้ไม่ยากกว่ามาก<ref>{{Cite web | url = https://www.bbc.com/news/technology-47974583 | title = Millions using 123456 as password, security study finds | date = 2019-04-21 | website = BBC News | access-date = 2019-04-24}}</ref>

== การสร้างรหัสผ่าน ==
ผู้ใช้สามารถใช้ตัวสร้างรหัสผ่านสุ่มอัตโนมัติ หรือตั้งรหัสผ่านขึ้นเอง
โดยอย่างหลังมักจะสามัญกว่า 
ความเข้มแข็งของรหัสผ่านที่สร้างขึ้นโดยสุ่มในการต่อต้านการโจมตีแบบใช้กำลังสามารถประเมินค่าได้อย่างแม่นยำ แต่รหัสผ่านที่สร้างเองประเมินได้ยาก 

เมื่อผู้ใช้เลือกรหัสผ่านสำหรับ[[แอป]]หรือ[[เว็บไซต์]] ก็มักจะได้คำแนะนำหรือข้อจำกัด 
รหัสผ่านที่สร้างเองจะประเมินค่าความแข็งแกร่งได้เพียงแต่คร่าว{{nbsp}}ๆ เพราะมักทำตามรูปแบบและการมีรูปแบบก็จะช่วยให้เดาได้ง่ายขึ้น<ref name=NIST>{{cite web | url = http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63v6_3_3.pdf | title = SP 800-63 - Electronic Authentication Guideline | publisher = NIST | access-date = 2014-04-20 | url-status = dead | archive-url = https://web.archive.org/web/20040712152833/http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63v6_3_3.pdf | archive-date = 2004-07-12 }}</ref>
อนึ่ง ยังมีรายการรหัสผ่านยอดนิยมซึ่งสามารถป้อนให้แก่โปรแกรมเดารหัสผ่าน 
รายการเช่นนี้จะมาจากพจนานุกรมออนไลน์ในภาษาต่าง{{nbsp}}ๆ,
จากฐานข้อมูลรหัสผ่านทั้งที่บันทึกเป็นอักษรเปล่าหรือเป็นค่าแฮชที่ได้เจาะมาจากบัญชีธุรกิจและบัญชีสื่อสังคม และจากรหัสผ่านที่สามัญอื่น{{nbsp}}ๆ 
ดังนั้น รหัสผ่านและรหัสผ่านที่ดัดแปลงง่าย{{nbsp}}ๆ จากรายการเช่นนี้จึงจัดว่าอ่อนแอทั้งหมด

แม้ปัจจุบันจะมีโปรแกรมสร้างรหัสผ่านแบบสุ่มซึ่งหมายให้ใช้ได้ง่าย แต่ปกติก็จะสร้างรหัสผ่านที่จำได้ยาก จึงทำให้ผู้ใช้มักเลือกรหัสเองซึ่งปกติจะไม่ปลอดภัย 
เพราะสิ่งที่บุคคลเลือกมักจะขึ้นอยู่กับ[[รูปแบบการดำเนินชีวิต]] [[การบันเทิง]]ที่ชอบใจ และเรื่องที่เกี่ยวข้องกับบุคคลนั้น{{nbsp}}ๆ 
ในขณะที่[[สื่อสังคม]]{{nowrap |ออนไลน์}}ก็มักจะทำให้สืบหาเก็บข้อมูลต่าง{{nbsp}}ๆ เกี่ยวกับบุคคลนั้นได้ง่าย 

== ความถูกต้องของรหัสผ่านที่เดา ==
ระบบที่ใช้รหัสผ่านเพื่อพิสูจน์ตัวตนจะต้องตรวจสอบว่ารหัสผ่านที่ให้ถูกต้องหรือไม่ 
ถ้าเก็บรหัสผ่านเปล่าไว้ใน[[ไฟล์]]หรือใน[[ฐานข้อมูล]] ผู้โจมตีที่เข้าถึงระบบได้ก็อาจสามารถเก็บรหัสผ่านของผู้ใช้ได้ทั้งหมด 
ทำให้เข้าถึงบัญชีในระบบได้ทั้งหมด และบางที ก็ระบบอื่น{{nbsp}}ๆ ด้วยที่ผู้ใช้ใช้รหัสผ่านเช่นเดียวกันหรือคล้าย{{nbsp}}ๆ กัน 
วิธีลดความเสี่ยงอย่างหนึ่งก็คือการเก็บแต่[[ค่าแฮช]] (cryptographic hash) ของรหัสผ่านแทนที่จะเก็บรหัสผ่านเปล่าเอง 
ค่าแฮชที่ทำตามมาตรฐานต่าง{{nbsp}}ๆ เช่น จากกลุ่ม Secure Hash Algorithm (SHA) จะคำนวณกลับคืนเป็นรหัสผ่านดั้งเดิมได้ยากมาก ดังนั้นผู้โจมตีที่เพียงแต่ได้ค่าแฮช จึงไม่สามารถบอกรหัสผ่านดั้งเดิมโดยทันที 
แต่การมีค่าแฮชก็จะอาจทำให้แฮ็กรหัสผ่านได้เมื่อทำออฟไลน์ 
มีโปรแกรม[[เจาะรหัสผ่าน]]ที่สามารถทดสอบรหัสได้เป็นจำนวนมากโดยคำนวณค่าแฮชที่เป็นเป้าหมาย 

[[เทคโนโลยี]]ได้พัฒนาขึ้นเรื่อย{{nbsp}}ๆ ดังนั้น การเดารหัสผ่านก็เร็วขึ้นเรื่อย{{nbsp}}ๆ เช่นกัน 
ยกตัวอย่างเช่นในปี{{nbsp}}2010 สถาบันการวิจัยจอร์เจียเทคได้พัฒนาวิธีการเจาะรหัสผ่านที่เร็วยิ่งขึ้นมากโดยใช้[[หน่วยประมวลผลกราฟิกส์]]เป็นตัวคำนวณ<ref name="gtri"/>
ในปี{{nbsp}}2011 ก็เริ่มมีผลิตภัณฑ์ที่อ้างว่าสามารถทดสอบรหัสผ่านได้ถึง {{nowrap |112,000 ตัว/วินาที}}บน[[คอมพิวเตอร์ตั้งโต๊ะ]]ธรรมดาโดยใช้หน่วยประมวลผลกราฟิกส์ชั้นสูงที่มีในตอนนั้น<ref name="elcomsoft">[http://www.elcomsoft.com/eprb.html#gpu Elcomsoft.com] {{webarchive | url = https://web.archive.org/web/20061017173506/http://www.elcomsoft.com/eprb.html | date = 2006-10-17 }}, ElcomSoft Password Recovery Speed table, NTLM passwords, Nvidia Tesla S1070 GPU, accessed 2011-02-01</ref>
อุปกรณ์ที่ว่าสามารถเจาะรหัสผ่านยาว 6 ตัวอักษรและมีอักษรตัวเล็กหรือตัวใหญ่เพียงอย่างเดียวโดยเสร็จในวันเดียว 
และยังสามารถแจกกระจายงานไปยังคอมพิวเตอร์จำนวนมากเพื่อเพิ่มความเร็ว โดยจะเร็วตามจำนวนคอมพิวเตอร์ที่มีหน่วยประมวลผลกราฟิกส์ในระดับเดียวกัน 

มีเทคนิคเพิ่มความแข็งแกร่งของค่าแฮช คือ [[การยืดกุญแจ]] ซึ่งเพิ่มเวลาในการคำนวณค่าแฮช เป็นการลดอัตราการเดารหัสผ่านที่จะทำได้ 
แม้เทคนิคนี้ปัจจุบันจะจัดว่าเป็นแนวปฏิบัติที่ดีสุด แต่ระบบทั่ว{{nbsp}}ๆ ไปก็ไม่ค่อยใช้

สถานการณ์อีกอย่างหนึ่งที่ทำให้เดารหัสผ่านได้อย่างรวดเร็วก็คือเมื่อใช้รหัสผ่านเป็นกุญแจเข้ารหัสลับ (cryptographic key)
ผู้โจมตีจึงตรวจสอบดูได้ว่า รหัสผ่านที่เดาสามารถถอดรหัสลับของข้อมูลได้หรือไม่ 
เช่น มีผลิตภัณฑ์หนึ่งที่อ้างว่าสามารถตรวจสอบรหัสผ่าน[[วายฟาย]]ชนิด WPA PSK ได้ถึง {{nowrap |103,000 ตัว/วินาที}}<ref>[http://www.elcomsoft.com/ewsa.html Elcomsoft Wireless Security Auditor, HD5970 GPU] {{webarchive | url = https://web.archive.org/web/20110219131825/http://www.elcomsoft.com/ewsa.html | date = 2011-02-19 }}accessed 2011-02-11</ref>

ถ้าระบบเก็บรหัสผ่านไว้เป็นค่าแฮช ผู้โจมตีก็อาจคำนวณค่าแฮชไว้ล่วงหน้าสำหรับรหัสผ่านที่สามัญ 
หรือสำหรับรหัสผ่านที่สั้น{{nbsp}}ๆ แล้วสามารถแฮ็กเอารหัสผ่านดั้งเดิมได้อย่างรวดเร็วเมื่อขโมยเอาค่าแฮชได้ 
อนึ่ง ผู้โจมตีอาจเก็บค่าแฮชไว้ใน[[ฐานข้อมูล]]ที่เรียกว่า rainbow table ที่ทำให้เจาะเอารหัสผ่านได้อย่างมีประสิทธิภาพ

แต่วิธีการโจมตีนี้ก็ป้องกันได้โดยใช้ค่าสุ่มที่เรียกว่า cryptographic salt แล้วเก็บไว้ร่วมกับค่าแฮช
ค่าสุ่มนี้จะใช้ร่วมกับรหัสผ่านเมื่อคำนวณค่าแฮช ดังนั้นผู้โจมตีที่ใช้ฐานข้อมูลก็จะต้องเก็บรหัสผ่านกับค่าแฮชและค่าสุ่มที่เป็นไปได้ทุกค่า
ซึ่งทำไม่ได้เมื่อค่าสุ่มมีขนาดใหญ่พอเช่นเป็นเลข 32{{nbsp}}บิต 
แต่ระบบพิสูจน์ตัวตนเป็นจำนวนมากก็มักไม่ใช้ค่าสุ่มนี้ ดังนั้น จึงมีฐานข้อมูลเจาะรหัสผ่านสำหรับค่าแฮชโดยวิธีต่าง{{nbsp}}ๆ ทางอินเทอร์เน็ต 

=== ค่าวัดความแข็งแกร่งเป็นเอนโทรปี ===
รหัสผ่านจะแข็งแกร่งแค่ไหนสามารถกำหนดได้ด้วย[[เอนโทรปีของข้อมูล]] (information entropy) ซึ่งเป็นแนวคิดที่ได้จากสาขา[[ทฤษฎีสารสนเทศ]]
{{nowrap |เอนโทรปี}}ของข้อมูลเป็น[[บิต]]จำนวนน้อยที่สุดซึ่งสามารถบรรจุ[[ข้อมูล]]ที่มีในรหัสผ่านชนิดหนึ่ง{{nbsp}}ๆ
โดยคร่าว{{nbsp}}ๆ จะเท่ากับ{{nowrap |[[ลอการิทึม]]ฐานสอง}}ของจำนวนการเดาสูงสุดเพื่อให้ได้รหัสผ่าน โดยมักเรียกว่า "บิตเอนโทรปี"<ref>{{cite conference | url = http://www.isiweb.ee.ethz.ch/archive/massey_pub/pdf/BI633.pdf | title = Guessing and entropy | author = Massey, James | year = 1994 | publisher = IEEE | pages = 204 | book-title = Proceedings of 1994 IEEE International Symposium on Information Theory }}</ref>
รหัสผ่านที่มี 42{{nbsp}}บิตเอนโทรปีจะแข็งแกร่งเท่ากับการเลือก{{nowrap |เลขศูนย์เลขหนึ่ง}}โดยสุ่มติดต่อกัน 42{{nbsp}}ตัว เช่น โยนเหรียญหัวก้อย 42{{nbsp}}ครั้ง 
กล่าวอีกอย่างก็คือ รหัสผ่านที่มี 42{{nbsp}}บิตเอนโทรปีจะต้องเดา 2<sup>42</sup> {{nowrap |(4,398,046,511,104)}} ครั้งเพื่อให้ได้รหัสผ่านที่เป็นไปได้ทั้งหมด
ดังนั้น การเพิ่มเอนโทรปีของรหัสผ่าน 1{{nbsp}}บิตก็จะเพิ่มจำนวนการเดาเป็นเท่าตัว จึงทำให้แฮ็กได้ยากขึ้นเป็นทวีคูณ 
ผู้โจมตี[[โดยเฉลี่ย]]จะต้องเดารหัสผ่านเป็นจำนวนครึ่งหนึ่งก่อนจะได้รหัสผ่านที่ถูกต้อง<ref name=NIST />

=== รหัสผ่านสุ่ม ===
<!--{{บทความหลัก |Random password generator}}-->
รหัสผ่านสุ่มจะประกอบด้วยตัวอักษร/สัญลักษณ์เป็นจำนวนหนึ่งโดยได้จากระบวนการเลือกแบบสุ่มที่แต่ละตัวในชุดอักษร/สัญลักษณ์จะมีโอกาสเลือกเท่า{{nbsp}}ๆ กัน 
อาจจะเป็น[[อักษร]]หนึ่ง{{nbsp}}ๆ จาก[[ชุดอักขระ]]เช่น[[แอสกี]] หรือเป็น[[พยางค์]]ที่ออกแบบเพื่อใช้สร้างรหัสผ่านที่ออกเสียงได้ หรือแม้แต่เป็นคำจากรายการคำ (เป็นการสร้าง[[พาสเฟรซ]])

ความแข็งแกร่งของรหัสผ่านสุ่มจะขึ้นอยู่กับเอนโทรปีของตัวสร้าง
แต่ตัวสร้างก็มักทำสุ่มไม่ได้จริง{{nbsp}}ๆ แต่ทำเป็นเสมือนสุ่ม (pseudorandom)
ตัวสร้างรหัสผ่านที่มีให้ใช้ทั่วไปหลายตัวต่างใช้ตัวสร้างเลขสุ่มใน[[คลังโปรแกรม]]ที่จริง{{nbsp}}ๆ ก็มีเอนโทรปีจำกัด
แต่[[ระบบปฏิบัติการ]]ปัจจุบันโดยมากก็มีตัวสร้างเลขสุ่มที่ดีทาง[[วิทยาการรหัสลับ]] ดังนั้นจึงเหมาะสมเพื่อใช้สร้างรหัสผ่าน
อนึ่ง ยังสามารถ[[ไดซ์แวร์|ใช้ลูกเต๋าธรรมดาเพื่อสร้างรหัสผ่านสุ่ม]]อีกด้วย

รหัสผ่านที่สร้างด้วยกระบวนการเลือกสัญญลักษณ์ต่อ{{nbsp}}ๆ กันโดยสุ่ม มีความยาว ''L'' โดยเลือกจากกลุ่มสัญลักษณ์จำนวน ''N'' ตัว จะสามารถสร้างรหัสผ่านได้อย่างมาก ''N''<sup>''L''</sup> ตัว
ดังนั้นไม่ว่าจะเพิ่มค่า ''L'' หรือ ''N'' ก็จะทำให้รหัสผ่านที่สร้างแข็งแกร่งยิ่งขึ้น 
ความแข็งแกร่งเมื่อวัดโดย{{nowrap |เอนโทรปีข้อมูล}} ก็คือ{{nowrap |[[ลอการิทึม]]ฐานสอง}} (log<sub>2</sub>) ของจำนวนรหัสผ่านที่เป็นไปได้ โดยสมมุติว่า สัญลักษณ์แต่ละตัวในรหัสผ่านจะเลือกอย่างเป็นอิสระ 
ดังนั้น เอนโทรปีข้อมูล ''H'' ก็จะคำนวณได้ด้วยสูตร
{{align |center|
<math>H = \log_2 N^L = L\log_2 N = L {\log N \over \log 2}</math>
}}
''H'' มีหน่วยเป็น[[บิต]]<ref name=NIST/><ref>Schneier, B: ''Applied Cryptography'', 2e, page 233 ff. John Wiley and Sons.</ref>
สำหรับ[[นิพจน์ (คณิตศาสตร์)|นิพจน์]]ช่องสุดท้าย ''log'' จะมีฐานอะไรก็ได้

:{| class="wikitable" style="text-align: right;"
|+ ค่าเอนโทรปีสำหรับสัญลักษณ์หนึ่งตัวสำหรับสัญลักษณ์ชุดต่าง{{nbsp}}ๆ
	! ชุดสัญลักษณ์ || จำนวนสัญลักษณ์<br />ในชุด (''N'') || เอนโทรปี/ตัว<br />(''H'')
|-
	| align = left|[[ตัวเลขอาหรับ]] (0-9) (เช่น รหัสพิน) || 10 || {{Rnd |3.3219280948874|3}} บิต
|-
	| align = left|[[เลขฐานสิบหก]] (0-9, A-F) (เช่น กุญแจ WEP) || 16 || 4.000 บิต
|-
	| align = left|[[ชุดตัวอักษรละติน]]ที่[[ไม่ไวต่ออักษรใหญ่เล็ก]] (a-z หรือ A-Z) || 26 || {{Rnd |4.7004397181411|3}} บิต
|-
	| align = left|ชุดตัวอักษรละตินและตัวเลขที่ไม่ไวต่ออักษรใหญ่เล็ก (a-z หรือ A-Z, 0-9) || 36 || {{Rnd |5.1699250014423|3}} บิต
|-
	| align = left|ชุดตัวอักษรละตินที่[[ไวต่ออักษรใหญ่เล็ก]] (a-z, A-Z) || 52 || {{Rnd |5.7004397181411|3}} บิต
|-
	| align = left|ชุดตัวอักษรละตินและตัวเลขที่ไวต่ออักษรใหญ่เล็ก (a-z, A-Z, 0-9) || 62 || {{Rnd |5.9541963103869|3}} บิต
|-
	| align = left|[[ชุดอักขระแอสกีที่แสดงผล]]ยกเว้นอักขระว่าง|| 94 || {{Rnd |6.55458885|3}} บิต
|-
	| align = left|ชุดอักขระเพิ่มเติมละติน-1 || 94 || {{Rnd |6.55458885|3}} บิต
|-
	| align = left|[[ชุดอักขระแอสกีที่แสดงผล]] || 95 || {{Rnd |6.5698556083309|3}} บิต
|-
	| align = left|ชุดอักขระแอสกีขยายที่แสดงผล || 218 || {{Rnd |7.7681843247769|3}} บิต
|-
	| align = left|เลข 8 บิต (0-255 หรือ 1 [[ไบต์]]) || 256 || {{Rnd |8|3}} บิต
|-
	| align = left|รายการคำ[[ไดซ์แวร์]] || 7,776 || {{Rnd |12.924812503606|3}} บิต/คำ
|}
ข้อมูล 1{{nbsp}}ไบต์มักจะเขียนเป็น[[เลขฐานสิบหก]] 2{{nbsp}}ตัว

เพื่อจะหาความยาวของรหัสผ่าน ''L'' ที่มีความแข็งแกร่ง ''H'' โดยเป็นรหัสผ่านสุ่มที่ได้จากชุดอักขระที่มีสัญลักษณ์ ''N'' ตัว สามารถใช้สูตรดังนี้คือ

<math>L = {\left \lceil \frac {H}{\log_2 N} \right \rceil}</math>

โดย <math> \left \lceil \ \right \rceil </math> หมายถึง[[ฟังก์ชันเพดาน]] คือ
การปัดเศษขึ้นให้เลขเป็น[[จำนวนธรรมชาติ|จำนวนเต็ม]]

ตารางต่อไปนี้ใช้สูตรดังว่าเพื่อแสดงจำนวนสัญลักษณ์ในรหัสผ่านที่สร้างขึ้นโดยสุ่มจริง{{nbsp}}ๆ เพื่อให้ได้เอนโทรปีตามที่ต้องการ โดยใช้ชุดสัญลักษณ์ที่สามัญ 

{| class="wikitable"
|+ รหัสผ่านที่สร้างโดยสุ่มจริง ๆ มีสัญลักษณ์ยาว ''L'' ตัวเพื่อให้ได้เอนโทรปี ''H'' โดยชุดมีสัญลักษณ์ ''N'' ตัว
|-
	! rowspan=2|รหัสผ่าน<br />มีเอนโทรปี ''H'' !!rowspan=2| [[ตัวเลขอาหรับ|ตัวเลข<br />อาหรับ]]!!rowspan=2| [[เลขฐานสิบหก|เลขฐาน<br/>สิบหก]] !! colspan=2|[[ไม่ไวต่ออักษรใหญ่เล็ก]]  !! colspan=2|[[ไวต่ออักษรใหญ่เล็ก]]  !! อักขระ[[แอสกี]]<br />ทั้งหมด !! อักขระ<br />แอสกีขยาย !! rowspan=2|รายการคำ<br />[[ไดซ์แวร์]]
|-
	! [[ชุดตัวอักษรละติน|ชุดอักษร<br />ละติน]] !!ชุดตัว<br />อักษรละติน<br />และตัวเลข !! ชุดอักษร<br />ละติน !! ชุดตัว<br />อักษรละติน<br />และตัวเลข !!colspan=2|[[ชุดอักขระแอสกีที่แสดงผล|ที่แสดงผล]]
|-
	| 8 บิต (1 ไบต์) || 3 || 2 || 2 || 2 || 2 || 2 || 2 || 2 || 1 คำ
|-
	| 32 บิต (4 ไบต์) || 10 || 8 || 7 || 7 || 6 || 6 || 5 || 5 || 3 คำ
|-
	| 40 บิต (5 ไบต์) || 13 || 10 || 9 || 8 || 8 || 7 || 7 || 6 || 4 คำ
|-
	| 64 บิต (8 ไบต์) || 20 || 16 || 14 || 13 || 12 || 11 || 10 || 9 || 5 คำ
|-
	| 72 บิต (9 ไบต์) || 23 || 18 || 16 || 14 || 13 || 13 || 11 || 10 || 6 คำ
|-
	| 80 บิต (10 ไบต์) || 25 || 20 || 18 || 16 || 15 || 14 || 13 || 11 || 7 คำ
|-
	| 96 บิต (12 ไบต์) || 29 || 24 || 21 || 19 || 17 || 17 || 15 || 13 || 8 คำ
|-
	| 128 บิต (16 ไบต์) || 39 || 32 || 28 || 25 || 23 || 22 || 20 || 17 || 10 คำ
|-
	| 160 บิต (20 ไบต์) || 49 || 40 || 35 || 31 || 29 || 27 || 25 || 21 || 13 คำ
|-
	| 192 บิต (24 ไบต์) || 58 || 48 || 41 || 38 || 34 || 33 || 30 || 25 || 15 คำ
|-
	| 224 บิต (28 ไบต์) || 68 || 56 || 48 || 44 || 40 || 38 || 35 || 29 || 18 คำ
|-
	| 256 บิต (32 ไบต์) || 78 || 64 || 55 || 50 || 45 || 43 || 39 || 33 || 20 คำ
|}

=== รหัสผ่านที่มนุษย์สร้าง ===
ปกติรู้ได้เลยว่ามนุษย์สร้างรหัสผ่านให้มีเอนโทรปีอันสมควรได้แย่มาก
งานศึกษากับคนครึ่งล้านประเมินว่าเอนโทรปีโดยเฉลี่ยของรหัสผ่านอยู่ที่ 40.54{{nbsp}}บิต<ref>{{cite book | last1 = Florencio | first1 = Dinei | last2 = Herley | first2 = Cormac | title = Proceedings of the 16th international conference on World Wide Web | chapter = A large-scale study of web password habits | date = 2007-05-08 | page = 657 | doi = 10.1145/1242572.1242661 | isbn = 9781595936547 | s2cid = 10648989 | chapter-url = http://research.microsoft.com/pubs/74164/www2007.pdf | ref = ACM 978-1-59593-654-7/07/0005. | url-status = live | archive-url = https://web.archive.org/web/20150327031521/http://research.microsoft.com/pubs/74164/www2007.pdf | archive-date = 2015-03-27}}</ref>

ในงานวิเคราะห์รหัสผ่านยาว 8{{nbsp}}ตัว {{nowrap |3 ล้านรหัส}} มีการใช้อักษร "e" 1.5 ล้านครั้ง อักษร "f" เพียงแค่ 250,000{{nbsp}}ครั้ง 
ถ้าเป็น[[การแจกแจงเอกรูปไม่ต่อเนื่อง|การแจกแจงแบบเอกรูป]]จริง ๆ อักษรแต่ละตัวก็ควรจะใช้ 900,000{{nbsp}}ครั้ง 
เลขที่ใช้มากที่สุดคือ 1 อักษรที่ใช้มากที่สุดคือ a, e, o และ r<ref name=perfect />
ผู้ใช้มักจะไม่ใช้อักษรชุดใหญ่กว่านี้เพื่อสร้างรหัสผ่านให้ปลอดภัยยิ่งขึ้น
ยกตัวอย่างเช่น การ[[ฟิชชิง]]เว็บไซต์ MySpace ในปี{{nbsp}}2006 มีผลให้แฮ็กได้รหัสผ่าน 34,000 รหัส แต่มีเพียงร้อยละ{{nbsp}}8.3 เท่านั้นที่ใช้อักษรตัวเล็กตัวใหญ่ ตัวเลขและสัญลักษณ์<ref name=myspace-passwords>{{cite news | url = http://archive.wired.com/politics/security/commentary/securitymatters/2006/12/72300?currentPage=all | title = MySpace Passwords aren't so Dumb | author = Schneier, Bruce | publisher = Wired Magazine | access-date = 2008-04-11 | date = 2006-12-14 | url-status = live | archive-url = https://web.archive.org/web/20140521031354/http://archive.wired.com/politics/security/commentary/securitymatters/2006/12/72300?currentPage=all | archive-date = 2014-05-21 }}</ref>

ความแข็งแกร่งจากการใช้ชุดอักขระแอสกีทั้งหมด (คือตัวเลข อักษรเล็กใหญ่ และอักษรพิเศษ) 
จะได้ก็ต่อเมื่ออักษรแต่ละตัวในรหัสผ่านอาจเป็นตัวใดก็ได้จากชุดอักขระโดยมีโอกาสเท่า{{nbsp}}ๆ กัน 
นี่ดูเหมือนจะบอกว่ารหัสผ่านควรจะมีอักษรจากกลุ่มอักษรต่าง{{nbsp}}ๆ ทุกกลุ่ม เช่น ตัวใหญ่ ตัวเล็ก ตัวเลข และสัญลักษณ์ที่เหลือ 
แต่การบังคับให้มีรูปแบบกลับทำให้เดาได้ง่ายแล้วถูกแฮ็กได้ง่ายขึ้น 
เป็นการลดความแข็งแกร่งของรหัสผ่าน 
ข้อบังคับที่ดีกว่าก็คือให้ใช้รหัสผ่านที่ไม่มีในพจนานุกรม ไม่ใช่ชื่อ ไม่ใช่รูปแบบเลขทะเบียนรถ เป็นต้น

ถ้าบังคับให้ใช้รูปแบบ มนุษย์ก็มักจะใช้รูปแบบที่คาดเดาได้ เช่น ในภาษาอังกฤษ อักษรตัวแรกจะเป็นตัวใหญ่ ข้างหลังเติมตัวเลข {{nowrap |1-2 ตัว}} แล้วตามด้วยอักษรพิเศษ 
การคาดเดาได้เช่นนี้จึงหมายความว่า การใช้กลุ่มอักษรต่าง{{nbsp}}ๆ ก็จะเพิ่มความแข็งแกร่งเพียงเล็กน้อย
เมื่อเทียบกับการใช้รหัสผ่านสุ่มที่เพิ่มความแข็งแกร่งยิ่งกว่า

=== การใช้งานได้และการทำให้เกิดผล ===
เพราะคีย์บอร์ดในประเทศต่าง{{nbsp}}ๆ อาจจะต่าง{{nbsp}}ๆ กัน ดังนั้น ชุดอักขระแอสกีที่แสดงผลได้ 94{{nbsp}}ตัว บางทีก็อาจจะใช้ไม่ได้ทุกที่ 
ซึ่งเป็นปัญหากับ{{nowrap |ผู้เดินทาง}}ไปต่างประเทศ ผู้ต้องลงชื่อเข้าบัญชีในระบบประเทศของตนโดยใช้คีย์บอร์ดประจำพื้นที่ 
อุปกรณ์มือถือเป็นจำนวนมากเช่น [[แท็บเล็ตคอมพิวเตอร์]]และ[[สมาร์ทโฟน]] ต้องใช้ปุ่มเปลี่ยนแป้นที่ซับซ้อน หรือไม่ก็จะต้องเปลี่ยนแอปเพื่อให้ใส่อักษรพิเศษได้ 

โปรแกรมพิสูจน์ตัวจริงจะต่าง{{nbsp}}ๆ กันในเรื่องอักขระที่อนุญาตให้ใช้ในรหัสผ่าน
บางอย่างจะปฏิบัติต่ออักษรเล็กใหญ่เท่ากัน บางอย่างไม่ยอมรับสัญลักษณ์บางอย่าง 
ในทศวรรษที่ผ่าน{{nbsp}}ๆ มา ระบบมักจะยอมรับตัวอักษรในรหัสผ่านได้เพิ่มขึ้น แต่ก็ยังอาจจำกัดอยู่ดี 
อนึ่ง ความยาวของรหัสผ่านที่อนุญาตยังต่าง{{nbsp}}ๆ กันอีกด้วย 

เมื่อนำไปปฏิบัติ รหัสผ่านจะต้องดูพอสมเหตุสมผลและพอใช้ได้สำหรับผู้ใช้ โดยยังต้องแข็งแกร่งพอ 
รหัสผ่านที่ยากเกินไปก็จะจำไม่ได้ ดังนั้น จึงต้องเขียนบันทึกไว้ ซึ่งบางท่านพิจารณาว่าเสี่ยงต่อความมั่นคง<ref name=Gartner>{{cite web | url = http://www.indevis.de/dokumente/gartner_passwords_breakpoint.pdf | title = Passwords are Near the Breaking Point | publisher = Gartner | author = Allan, A | access-date = 2008-04-10 | url-status = dead | archive-url = https://web.archive.org/web/20060427032938/http://www.indevis.de/dokumente/gartner_passwords_breakpoint.pdf | archive-date = 2006-04-27 }}</ref>
บางท่านก็อ้างว่าการบังคับให้ผู้ใช้ต้องจำรหัสผ่านโดยไม่มีตัวช่วย ก็จะทำให้ได้แต่รหัสผ่านที่อ่อนแอ ดังนั้น จึงเสี่ยงต่อความมั่นคงยิ่งกว่า 
ตามผู้เขียน[[โปรแกรมจัดการรหัสผ่าน]]เป็นคนแรกคือ บรูซ ชไนเออร์ คนโดยมากรักษาความปลอดภัยของกระเป๋าตังค์ของตนได้ ดังนั้น จึงเป็นที่เก็บรหัสผ่านที่ดี<ref name=Schneier-writedown>{{cite web | url = http://www.schneier.com/blog/archives/2005/06/write_down_your.html | title = Schneier on Security | work = Write Down Your Password | author = Schneier, Bruce | access-date = 2008-04-10 | url-status = live | archive-url = https://web.archive.org/web/20080413032636/http://www.schneier.com/blog/archives/2005/06/write_down_your.html | archive-date = 2008-04-13 }}</ref>

== บิตเอนโทรปีตามความจำเป็น ==
บิตเอนโทรปีอย่างต่ำสุดที่จำเป็นจะขึ้นอยู่กับโมเดลการคุกคาม (threat model) ของแอปนั้น{{nbsp}}ๆ
แต่ถ้าไม่[[ขยายกุญแจ]]ก็จะต้องใช้รหัสผ่านที่มีเอนโทรปีสูงกว่า

[[เอกสารขอความเห็น]]ปี{{nbsp}}2005 ยกตัวอย่างโมเดลการคุกคามกับเอนโทรปีที่จำเป็นแต่ละอย่าง{{nbsp}}ๆ<ref>{{cite IETF | title = Randomness Requirements for Security | rfc = 4086}}</ref>
แล้วได้คำตอบว่าต้องมีเอนโทรปี 29{{nbsp}}บิตถ้าต้องรับมือกับการโจมตีทางออนไลน์เท่านั้น 
และมีถึง 96{{nbsp}}บิตสำหรับใช้เป็นกุญแจในโปรแกรมเข้ารหัสลับเมื่อกุญแจที่ว่าต้องมั่นคงในระยะยาวและไม่ได้ขยาย
ในปี{{nbsp}}2010 สถาบันการวิจัยจอร์เจียเทคทำการศึกษาเรื่องกุญแจที่ไม่ขยาย แล้วแนะนำให้ใช้รหัสผ่านสุ่มที่มีอักษร 12{{nbsp}}ตัวเป็นอย่างต่ำ<ref name="gtri">{{cite web | url = http://www.gtri.gatech.edu/casestudy/Teraflop-Troubles-Power-Graphics-Processing-Units-GPUs-Password-Security-System | title = Teraflop Troubles: The Power of Graphics Processing Units May Threaten the World's Password Security System | publisher = Georgia Tech Research Institute | access-date = 2010-11-07 | url-status = live | archive-url = https://web.archive.org/web/20101230063449/http://www.gtri.gatech.edu/casestudy/Teraflop-Troubles-Power-Graphics-Processing-Units-GPUs-Password-Security-System | archive-date = 2010-12-30}}</ref><ref name="msnbc">{{cite news | url = http://www.nbcnews.com/id/38771772 | title = Want to deter hackers? Make your password longer | publisher = NBC News | date = 2010-08-19 | access-date = 2010-11-07}}</ref>
ควรเข้าใจด้วยว่าเพราะคอมพิวเตอร์เร็วขึ้นเรื่อย{{nbsp}}ๆ ดังนั้น เพื่อจะป้องกันการโจมตีแบบออฟไลน์ บิตเอนโทรปีก็จะต้องเพิ่มขึ้นเรื่อย{{nbsp}}ๆ เช่นกัน 

ค่าสูงจะใช้กับข้อบังคับที่เข้มงวดเมื่อเลือกกุญแจสำหรับ[[เข้ารหัสลับ]]
ในปี{{nbsp}}1999 โปรเจ็กต์ EFF DES cracker แฮ็กการเข้ารหัสแบบ DES ขนาด 56{{nbsp}}บิตได้โดยไม่ถึงวันเมื่อใช้ฮาร์ดแวร์ที่ออกแบบเป็นพิเศษ<ref name=EFF-deep-crack>{{cite web | url = http://w2.eff.org/Privacy/Crypto/Crypto_misc/DESCracker/HTML/19980716_eff_descracker_pressrel.html | title = EFF DES Cracker machine brings honesty to crypto debate | publisher = EFF | access-date = 2008-03-27 | url-status = dead | archive-url = https://web.archive.org/web/20100101001853/http://w2.eff.org/Privacy/Crypto/Crypto_misc/DESCracker/HTML/19980716_eff_descracker_pressrel.html | archive-date = 2010-01-01 }}</ref>
ในปี{{nbsp}}2002 ''distributed.net'' แฮ็กกุญแจ 64{{nbsp}}บิตภายใน 4{{nbsp}}ปี 9{{nbsp}}เดือนและ 23{{nbsp}}วัน<ref name=distributed>{{cite web | url = http://stats.distributed.net/projects.php?project_id=5 | title = 64-bit key project status | publisher = Distributed.net | access-date = 2008-03-27 | archive-url = https://web.archive.org/web/20130910051812/http://stats.distributed.net/projects.php?project_id=5 | archive-date = 2013-09-10 | url-status = dead }}</ref>
ในปี{{nbsp}}2011 ''distributed.net'' ประเมินว่า การแฮ็กกุญแจ 72{{nbsp}}บิตโดยใช้ฮาร์ดแวร์ปัจจุบันจะใช้เวลา 45,579{{nbsp}}วันหรือ 124.8{{nbsp}}ปี<ref name=distributed-72>{{cite web | url = http://stats.distributed.net/projects.php?project_id=8 | title = 72-bit key project status | publisher = Distributed.net | access-date = 2011-10-12 }}</ref>
เมื่ออาศัยความรู้ความเข้าใจในข้อจำกัดของฟิสิกส์พื้นฐานปัจจุบัน คาดว่าจะไม่มีคอมพิวเตอร์ดิจิตัล (หรือเครือข่ายคอมพิวเตอร์) ที่สามารถแฮ็กการเข้ารหัสลับขนาด 256{{nbsp}}บิตโดยใช้กำลัง<ref name=schneier-cyptogram>{{cite web | url = http://www.schneier.com/crypto-gram-9902.html | title = Snakeoil: Warning Sign #5: Ridiculous key lengths | author = Schneier, Bruce | access-date = 2008-03-27 | url-status = live | archive-url = https://web.archive.org/web/20080418225248/http://www.schneier.com/crypto-gram-9902.html | archive-date = 2008-04-18 }}</ref>
แต่คอมพิวเตอร์ควอนตัมจะสามารถทำได้หรือไม่ก็ยังไม่ชัดเจน แม้การวิเคราะห์ทางทฤษฎีแสดงว่าอาจเป็นไปได้<ref>{{cite web | url = https://stackoverflow.com/questions/2768807/quantum-computing-and-encryption-breaking | title = Quantum Computing and Encryption Breaking | publisher = Stack Overflow | date = 2011-05-27 | access-date = 2013-03-17 | url-status = live | archive-url = https://web.archive.org/web/20130521043721/http://stackoverflow.com/questions/2768807/quantum-computing-and-encryption-breaking | archive-date = 2013-05-21 }}</ref>

== รหัสผ่านที่เข้มแข็ง ==
=== แนวทางสามัญ ===
แนวทางในการเลือกรหัสผ่านที่ดีปกติจะออกแบบให้เดารหัสผ่านได้ยากแม้เมื่อผู้โจมตีจะรู้ว่าผู้ใช้ได้สร้างรหัสผ่านอย่างไร
แนวทางสามัญที่องค์กรต่าง{{nbsp}}ๆ เสนอรวมทั้ง<ref>Microsoft Corporation, [http://www.microsoft.com/protect/yourself/password/create.mspx Strong passwords: How to create and use them] {{webarchive | url = https://web.archive.org/web/20080101132156/http://www.microsoft.com/protect/yourself/password/create.mspx | date = 2008-01-01 }}</ref><ref name="schneier07">Bruce Schneier, [http://www.schneier.com/blog/archives/2007/01/choosing_secure.html Choosing Secure Passwords] {{webarchive | url = https://web.archive.org/web/20080223002450/http://www.schneier.com/blog/archives/2007/01/choosing_secure.html | date = 2008-02-23 }}</ref><ref>Google, Inc., [https://www.google.com/accounts/PasswordHelp How safe is your password?] {{webarchive | url = https://web.archive.org/web/20080222225549/https://www.google.com/accounts/PasswordHelp | date = 2008-02-22 }}</ref><ref name="UMD01">University of Maryland, [http://www.cs.umd.edu/faq/Passwords.shtml Choosing a Good Password] {{webarchive | url = https://web.archive.org/web/20140614022254/http://www.cs.umd.edu/faq/Passwords.shtml | date = 2014-06-14 }}</ref><ref name="Bidwell000">{{cite book | first = Teri | last = Bidwell | title = Hack Proofing Your Identity in the Information Age | url = https://archive.org/details/hackproofingyour0000bidw | publisher = Syngress Publishing | year = 2002 | isbn = 978-1-931836-51-7 }}</ref>
* ทั่วไปแนะนำให้ตั้งรหัสผ่านที่ยาวน้อยสุด 8{{nbsp}}ตัวอักษร<ref>{{cite web | title = NIST PASSWORD GUIDELINES IN 2020 | date = 2020-08-18 | url = https://stealthbits.com/blog/nist-password-guidelines/#:~:text=NIST%20now%20requires%20that%20all,characters%20as%20a%20maximum%20length. | publisher = Stealthbits | access-date = 2021-05-17}}</ref> ผู้เชี่ยวชาญความมั่นคงทางไซเบอร์ของสหรัฐและสหราชอาณาจักร แนะนำให้ใช้รหัสผ่านที่ยาวและจำได้ง่าย แทนที่จะใช้รหัสสั้นแต่มีอักษรซับซ้อน<ref>{{cite web | title = Password Policy - Updating your approach | url = https://www.ncsc.gov.uk/collection/passwords/updating-your-approach | access-date = 2021-05-17 | publisher = UK National Cyber Security Centre}}</ref><ref>{{Cite web | title = Choosing and Protecting Passwords | url = https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords | date = 2019-11-18 | access-date = 2023-10-10 | publisher = US Cybersecurity & Infrastructure Security Agency (CISA)}}</ref> 
* สร้างรหัสผ่านแบบสุ่มเมื่อเป็นไปได้ 
* หลีกเลี่ยงรหัสผ่านเดียวกันที่ใช้ซ้ำ{{nbsp}}ๆ (เช่น กับบัญชีหลายบัญชี และ/หรือระบบหลายระบบ)
* เลี่ยงตัวอักษรซ้ำ{{nbsp}}ๆ เลี่ยงตัวอักษรตามรูปแบบของคีย์บอร์ด การใช้คำในพจนานุกรม และการใช้ตัวอักษรและตัวเลขที่เป็นลำดับ
* เลี่ยงการใช้ข้อมูลที่สัมพันธ์กับผู้ใช้ที่ปรากฏแล้วหรือจะปรากฏเป็นสาธารณะ เช่นชื่อผู้ใช้ ชื่อของบรรพบุรุษ และวันที่ 
* เลี่ยงการใช้ข้อมูลที่เพื่อนร่วมงานหรือว่าคนที่รู้จักอาจจะรู้เกี่ยวกับผู้ใช้ เช่นชื่อ[[ญาติ]] ชื่อ[[สัตว์เลี้ยง]] ชื่อคนรักทั้งปัจจุบันและอดีต หรือข้อมูล{{nowrap |[[อัตชีวประวัติ]]}} เช่น [[หมายเลขบัตรประชาชน]] ชื่อ[[บรรพบุรุษ]] หรือวันที่ 
* เลี่ยงรหัสผ่านผสมที่เอาส่วนประกอบอันอ่อนแอดังที่กล่าวมาแล้วมาผสมแบบง่าย{{nbsp}}ๆ

แม้การบังคับให้ใช้อักษรตัวเล็กตัวใหญ่ ตัวเลข และสัญลักษณ์ในรหัสผ่านจะเป็นนโยบายที่สามัญ แต่จริง{{nbsp}}ๆ พบว่า นี่ลดความมั่นคงของรหัสผ่าน ทำให้เจาะเอาได้ง่ายกว่า 
โดยงานวิจัยแสดงว่าการใช้อักษรต่าง ๆ ตามที่ว่าสามารถเดาได้ง่าย<ref>{{cite web | title = Digital Identity Guidelines | url = https://pages.nist.gov/800-63-3/sp800-63b.html#a3-complexity | publisher = USA National Institute for Standards and Technology | access-date = 2021-05-17}}</ref>
ในสหรัฐและสหราชอาณาจักร<ref>{{cite web | title = Password administration for system owners | url = https://www.ncsc.gov.uk/collection/passwords/updating-your-approach | publisher = UK National Cyber Security Centre | access-date = 2021-05-17}}</ref>
เจ้าหน้าที่ด้านความมั่นคงทาง{{nowrap |ไซเบอร์}}ของรัฐแนะนำไม่ให้บังคับใช้นโยบายรหัสผ่านตามที่ว่า 
สัญลักษณ์ที่ซับซ้อนยังทำให้รหัสผ่านจำได้ยากยิ่งกว่า ซึ่งทำให้ต้องเขียนบันทึกเพิ่มขึ้น ตั้งรหัสผ่านใหม่บ่อยขึ้น ใช้รหัสผ่านซ้ำ{{nbsp}}ๆ กันยิ่งขึ้น ทั้งหมดล้วนแต่ลดความมั่นคง จริง ๆ ไม่ได้เพิ่ม 
ต่อมาผู้แต่งกฎเกณฑ์ความซับซ้อนของรหัสผ่านจึงขอโทษและยอมรับว่ากฎที่ตั้งขึ้นลดความมั่นคงลงดังที่งานวิจัยได้พบ 
ซึ่งเป็นสิ่งที่สื่อรายงานอย่างกว้างขวางในปี{{nbsp}}2017<ref name="tesla.tours">{{cite web | title = Password Rules - Founder of Password Complexity Says SORRY! | url = https://www.tesla.tours/campaigns/password-rules#h.8jxqtu8i7po2 | access-date = 2021-05-17}}</ref>
นักวิจัยความมั่นคงออนไลน์<ref>{{cite web | title = CyLab Usable Privacy and Security Laboratory (CUPS) | url = http://cups.cs.cmu.edu/passwords.html | publisher = Carnegie Mellon University (USA) | access-date = 2021-05-17}}</ref>
และที่ปรึกษาต่าง{{nbsp}}ๆ ต่างก็สนับสนุนข้อเปลี่ยนแปลงดังกล่าว<ref>{{cite web | last1 = Bruce | first1 = Schneier | title = Changes in Password Best Practices | url = https://www.schneier.com/blog/archives/2017/10/changes_in_pass.html | publisher = Schneier on Security | access-date = 2021-05-17}}</ref>
ว่าเป็นคำแนะนำการปฏิบัติที่ดีสุดในเรื่องรหัสผ่าน 

มีแนวทางปฏิบัติบางอย่างที่แนะนำไม่ให้เขียนบันทึกรหัสผ่าน แต่แนวทางอื่น{{nbsp}}ๆ ก็ให้ข้อสังเกตว่าผู้ใช้มักจะมีรหัสผ่านจำนวนมาก ดังนั้นจึงแนะนำให้เขียนรหัสผ่านเมื่อเก็บไว้ในที่ปลอดภัย 
ไม่ใช่ติดไว้กับ[[จอภาพ]] หรือไว้ในลิ้นชักที่ไม่ได้ล็อก<ref name="schneier.com">{{cite web | url = http://www.schneier.com/blog/archives/2005/06/write_down_your.html | title = Write Down Your Password - Schneier on Security | website = www.schneier.com | url-status = live | archive-url = https://web.archive.org/web/20080413032636/http://www.schneier.com/blog/archives/2005/06/write_down_your.html | archive-date = 2008-04-13}}</ref>
ศูนย์ความมั่นคงไซเบอร์แห่งชาติสหราชอาณาจักรแนะนำให้ใช้[[โปรแกรมจัดการรหัสผ่าน]]<ref name="National Cyber Security Centre">{{cite web | url = https://www.ncsc.gov.uk/blog-post/what-does-ncsc-think-password-managers | title = What does the NCSC think of password managers? | website = www.ncsc.gov.uk | url-status = live | archive-url = https://web.archive.org/web/20190305053922/https://www.ncsc.gov.uk/blog-post/what-does-ncsc-think-password-managers | archive-date = 2019-03-05}}</ref>

เว็บไซต์หรือคีย์บอร์ดอาจจำกัดชุดอักขระที่ใช้ได้กับรหัสผ่าน<ref>e.g. for a keyboard with only 17 nonalphanumeric characters, see one for a BlackBerry phone in [http://www.hardwaresecrets.com/fullimage.php?image=18705 an enlarged image] {{webarchive | url = https://web.archive.org/web/20110406121058/http://www.hardwaresecrets.com/fullimage.php?image=18705 | date = 2011-04-06 }} in support of [http://www.hardwaresecrets.com/article/795/2 Sandy Berger, ''BlackBerry Tour 9630 (Verizon) Cell Phone Review'', in Hardware Secrets (August 31, 2009)] {{webarchive | url = https://web.archive.org/web/20110406121111/http://www.hardwaresecrets.com/article/795/2 | date = 2011-04-06 }}, both as accessed January 19, 2010. That some websites don’t allow nonalphanumerics is indicated by [http://forums.theregister.co.uk/post/527230 Kanhef, ''Idiots, For Different Reasons'' (June 30, 2009) (topic post)] {{webarchive | url = https://web.archive.org/web/20110406121058/http://forums.theregister.co.uk/post/527230 | date = 2011-04-06 }}, as accessed January 20, 2010.</ref>

=== ตัวอย่างรหัสผ่านที่อ่อนแอ ===
เหมือนกับวิธีป้องกันความปลอดภัยอื่น{{nbsp}}ๆ รหัสผ่านจะแข็งแกร่งไม่เท่ากัน 
บางรหัสก็จะอ่อนแอกว่า
ยกตัวอย่างเช่น การแฮ็กคำในพจนานุกรม กับการแฮ็กคำที่ทำให้ยุ่งเหยิงขึ้นบ้าง (เช่น แทนที่อักษรด้วยตัวเลขซึ่งเป็นวิธีการที่สามัญอย่างหนึ่ง)
อาจจะต้องใช้เวลาเพิ่มขึ้นเพียงไม่กี่วินาที จึงไม่ได้เพิ่มความแข็งแกร่งอะไร 
ตัวอย่างด้านล่างแสดงวิธีการสร้างรหัสผ่านที่อ่อนแอซึ่งล้วนแต่มีรูปแบบง่าย{{nbsp}}ๆ ทำให้ได้รหัสผ่านที่มีเอนโทรปีต่ำ ซึ่งสามารถเจาะได้ง่าย{{nbsp}}ๆ<ref name=perfect>{{cite book | last = Burnett | first = Mark | editor = Kleiman, Dave | title = Perfect Passwords | publisher = Syngress Publishing | year = 2006 | location = Rockland, Massachusetts | isbn = 978-1-59749-041-2 | page = 181 }}</ref>
* รหัสผ่านโดยปริยาย (ที่หมายให้เปลี่ยนเมื่อติดตั้งระบบ) เช่น ''password'', ''default'', ''admin'', ''guest'' รายการรหัสผ่านโดยปริยายพบได้ทั่วไปทางอินเทอร์เน็ต 
* รหัสผ่านที่นำไปใช้อีก คือรหัสผ่านหนึ่งควรใช้เฉพาะกับบัญชีหนึ่งเท่านั้น การเปลี่ยนรหัสผ่านเพียงเล็กน้อย เช่นเปลี่ยนอักษรไม่กี่ตัว ตัวเลขไม่กี่ตัว ไม่ได้เพิ่มความมั่นคงเพียงพอให้นำไปใช้อีก
* คำในพจนานุกรมต่าง ๆ เช่น ในภาษาอังกฤษ คือ ''chameleon'', ''RedSox'', ''sandbags'', ''bunnyhop!'', ''IntenseCrabtree'' แต่ก็รวมคำในพจนานุกรมที่ไม่ใช่ภาษาอังกฤษด้วย 
* คำที่ตามด้วยตัวเลข เช่น ''password1'', ''deer2000'', ''john1234'' ซึ่งสามารถแฮ็กได้อย่างรวดเร็ว 
* คำที่ทำอำพรางแบบง่าย{{nbsp}}ๆ เช่น ''p@ssw0rd'', ''l33th4x0r'', ''g0ldf1sh'' ซึ่งก็แฮ็กได้อย่างรวดเร็วเหมือนกัน ยกตัวอย่างเช่นรหัสผ่านของ{{nowrap |แอดมิน}}สำหรับ[[ผู้ประกอบการรับรอง]]โดเมน DigiNotar เมื่อถูกแฮ็กรายงานว่าเป็น ''Pr0d@dm1n''<ref>{{cite web | url = http://thehackernews.com/2011/09/comodohacker-responsible-for-diginotar.html | title = ComodoHacker responsible for DigiNotar Attack - Hacking News | publisher = Thehackernews.com | date = 2011-09-06 | access-date = 2013-03-17 | url-status = live | archive-url = https://web.archive.org/web/20130517204022/http://thehackernews.com/2011/09/comodohacker-responsible-for-diginotar.html | archive-date = 2013-05-17 }}</ref> เหตุการณ์นี้ต่อมานำไปสู่[[การล้มละลาย]]ของบริษัท
* คำซ้อน เช่น ''crabcrab'', ''stopstop'', ''treetree'', ''passpass''
* ลำดับแป้นพิมพ์บน[[คีย์บอร์ด]] เช่น ''qwerty'', ''123456'', ''asdfgh'' รวมทั้งลำดับแนวเฉียงและลำดับแนวกลับ เช่น qazplm, ytrewq
* ลำดับตัวเลขที่รู้จักกันดีเช่น 911<sup>(9-1-1, [[วินาศกรรม_11_กันยายน|9/11]])</sup>, 314159...<sup>([[พาย (ค่าคงตัว)|พาย]])</sup>, 27182...<sup>([[E (ค่าคงตัว)|e]])</sup>, 112 <sup>([[112 (หมายเลขโทรศัพท์ฉุกเฉิน)|1-1-2]])</sup>
* ข้อมูลระบุตัวตน เช่น ''jsmith123'', ''1/1/1970'', ''555-1234'', ชื่อผู้ใช้/บัญชี
* รหัสผ่านอ่อนแอซึ่งไม่ใช่ภาษาอังกฤษ เช่น contraseña (สเปน) และ ji32k7au4a83 (ภาษาจีน)<ref>{{cite news | url = https://www.iheart.com/content/2019-03-08-heres-why-ji32k7au4a83-is-a-surprisingly-common-password/ | title = Here's Why 'ji32k7au4a83' Is A Surprisingly Common Password | access-date = 2019-03-25 | date = 2019-03-08 | author = Basner, Dave}}</ref>
* ข้อมูลเกี่ยวกับบุคคลเช่น เลขทะเบียนรถ เลขบัตรประชาชน เบอร์โทรศัพท์ทั้งปัจจุบันและอดีต หมายเลขนักเรียนนักศึกษา ที่อยู่ปัจจุบัน ที่อยู่ในอดีต วันเกิด ทีมกีฬา ชื่อ/ชื่อเล่น/วันเกิดของญาติ/สัตว์เลี้ยง ทั้งหมดสามารถเจาะได้ง่าย{{nbsp}}ๆ หลังจากตรวจดูรายละเอียดของบุคคล 
* วันที่ เพราะมีรูปแบบที่ทำให้รหัสผ่านอ่อนแอ 
* ชื่อสถานที่ต่าง{{nbsp}}ๆ ที่รู้จักกันดีเช่น นิวยอร์ก เทกซัส จีน ลอนดอน
* ชื่อยี่ห้อ คนดัง ทีมกีฬา กลุ่มนักดนตรี รายการทีวี ภาพยนตร์
* รหัสผ่านสั้น{{nbsp}}ๆ แม้จะไม่มีจุดอ่อนดังกล่าว แต่ถ้าสั้นเกินไปก็จะแฮ็กได้ง่าย 

มีเหตุอื่น{{nbsp}}ๆ อีกที่ทำให้รหัสผ่านอ่อนแอ<ref>Bidwell, p. 87</ref>
ขึ้นอยู่กับการโจมตีว่ามีประสิทธิภาพแค่ไหน 
หลักสำคัญก็คือรหัสผ่านควรจะมีเอนโทรปีสูง ซึ่งทั่วไปก็คือความสุ่มของรหัสผ่าน ไม่ควรได้มาจากรูปแบบที่เหมือนกับฉลาด ไม่ควรมีข้อมูลระบุผู้ใช้ 
อนึ่ง บริการออนไลน์มักจะมีวิธีการกู้บัญชี ซึ่งถ้ามีจุดอ่อนและผู้โจมตีรู้วิธีก็อาจจะไม่ต้องพยายามแฮ็กรหัสผ่านเลย 

=== แนวทางรหัสผ่านใหม่ ===
บทความปี{{nbsp}}2012 ในวารสาร[[สมาคมคอมพิวเตอร์เอซีเอ็ม]]เน้นให้ใช้ตัวอักษรตัวเล็ก ตัวใหญ่ และตัวเลข มีอักษร 8{{nbsp}}ตัวหรือยิ่งกว่า
เพราะรหัสผ่านดังว่าสามารถทนการพยายามเดาเป็น {{nowrap |10 ล้านครั้ง/วินาที}}ได้นานถึง 252{{nbsp}}วัน 
แต่จริง{{nbsp}}ๆ ถ้าใช้หน่วยประมวลผลกราฟิกส์ในเวลานั้นทำการ ก็จะใช้เวลาเพียงแค่ {{nowrap |9 ชั่วโมง}}โดยมีอัตราเดารหัสผ่านที่ {{nowrap |7,000 ล้านครั้ง/วินาที}} 
ส่วนรหัสผ่านที่ยาว {{nowrap |13 ตัวอักษร}}ก็จะสามารถทนการพยายามเดาได้ถึง 900,000{{nbsp}}ปี<ref>
{{Cite web | url = https://queue.acm.org/detail.cfm?id=2422416 | title = HTML version - Rethinking Passwords | last = William | first = Cheswick | date = 2012-12-31 | website = Association for Computing Machinery (ACM) | url-status = live | archive-url = https://archive.today/20191103172648/https://queue.acm.org/detail.cfm?id=2422416 | archive-date = 2019-11-03 | access-date = 2019-11-03}}</ref><ref>
{{Cite journal | title = ACM Digital Library - Rethinking Passwords | last = William | first = Cheswick | date = 2012-12-31 | journal = Queue | volume = 10 | issue = 12 | pages = 50-56 | doi = 10.1145/2405116.2422416 }}</ref>

ถ้าใช้เทคโนโลยีปี{{nbsp}}2023 มาตรฐานรหัสผ่านตัวเล็ก ตัวใหญ่และตัวเลข 8{{nbsp}}ตัว จะสามารถเดาได้ในไม่กี่ชั่วโมง 
รหัสผ่านยาว 13{{nbsp}}ตัวอักษรจะใช้เวลาเดาเพียงไม่กี่ปี 
ดังนั้นจึงต้องเปลี่ยนความคิดใหม่ 
ปัจจุบันแนะนำให้ใช่รหัสผ่านที่มีตัวอักษร {{nowrap |13-16 ตัว}} 
โดยยังต้องเพิ่มใช้วิธี[[การพิสูจน์ตัวจริงด้วยปัจจัยหลายอย่าง]]เป็นตัวเสริมความมั่นคงด้วย 
การสร้าง[[โปรแกรมจัดการรหัสผ่าน]]และการนำมาใช้อย่างแพร่หลาย ยังช่วยผู้ใช้ให้สามารถสร้างและเก็บรักษารหัสผ่านที่ยาว แข็งแกร่ง และใช้กับบัญชีหรือแอปเดี่ยว{{nbsp}}ๆ<ref>{{Cite web | title = The State of Password Security 2023 Report {{!}} Bitwarden Resources | url = https://bitwarden.com/resources/the-state-of-password-security/ | access-date = 2023-09-24 | website = Bitwarden | language = en-US}}</ref>

== นโยบายรหัสผ่าน ==
<!--{{บทความหลัก |Password policy}}-->
นโยบายรหัสผ่านเป็นแนวทางการเลือกรหัสผ่านที่ดีพอ 
โดยมีจุดประสงค์ 
* ช่วยผู้ใช้ให้เลือกรหัสผ่านที่แข็งแกร่ง 
* ช่วยให้รหัสผ่านเหมาะสมกับสิ่งที่ต้องป้องกัน 
* ให้คำแนะนำแก่ผู้ใช้ในเรื่องการบริหารจัดการรหัสผ่าน 
* ให้คำแนะนำในการเปลี่ยนรหัสผ่านที่หายหรือว่าถูกแฮ็ก
* ใช้[[แบล็กลิสต์ (คอมพิวเตอร์)|แบล็กลิสต์]]เพื่อป้องกันไม่ให้ใช้รหัสผ่านที่อ่อนแอหรือเดาได้ง่าย 

นโยบายรหัสผ่านก่อน{{nbsp}}ๆ มักจะระบุกลุ่มอักษรซึ่งรหัสผ่านจะต้องมี เช่น ตัวเลข สัญลักษณ์ ตัวเล็ก ตัวใหญ่ 
แม้จะยังมีใช้อยู่ แต่งานวิจัยก็ได้ชี้แล้วว่า เป็นข้อบังคับที่ไม่ปลอดภัย<ref>{{cite web | title = Practical Recommendations for Stronger, More Usable Passwords Combining Minimum-strength, Minimum-length, and Blocklist Requirements | url = http://www.andrew.cmu.edu/user/nicolasc/publications/Tan-CCS20.pdf | publisher = Carnegie Mellon University | access-date = 2021-05-17}}</ref>
ผู้เริ่มตั้งนโยบายนี้ดั้งเดิมก็เห็นด้วย<ref>{{cite web | title = Bill Burr, Founder of Password complexity rules says SORRY! | url = https://www.tesla.tours/campaigns/password-rules#h.8jxqtu8i7po2 | access-date = 2021-05-17}}</ref>
ทั้งองค์กรความมั่นคงทางไซเบอร์ของสหรัฐและสหราชอาณาจักรก็เห็นด้วย<ref>{{cite web | title = Passwords in online services | url = https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/security/passwords-in-online-services/#whatrequirementsshould | publisher = UK Information Commissioner's Office (ICO) | access-date = 2021-05-17 | archive-date = 2021-05-04 | archive-url = https://web.archive.org/web/20210504043052/https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/security/passwords-in-online-services/#whatrequirementsshould | url-status = dead }}</ref><ref>
{{cite web | title = Digital Identity Guidelines | url = https://pages.nist.gov/800-63-3/sp800-63b.html#a3-complexity | publisher = USA National Institute of Standards and Technology | access-date = 2021-05-17}}</ref><ref>
{{cite web | title = Password guidance | url = https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/458857/Password_guidance_-_simplifying_your_approach.pdf | publisher = Cyber Security, UK Government Communications Headquarters | access-date = 2021-05-17}}</ref>
กฎความซับซ้อนรหัสผ่านโดยมีสัญลักษณ์ที่บังคับใช้ แพลตฟอร์มหลัก{{nbsp}}ๆ เช่น [[กูเกิล]]<ref>{{cite web | title = Create a Strong Password | url = https://support.google.com/accounts/answer/32040?hl=en#:~:text=Meet%20password%20requirements,accented%20characters%20aren't%20supported. | publisher = Google Inc. | access-date = 2021-05-17}}</ref> 
[[เฟซบุ๊ก]]<ref>{{cite web | title = Login and Password Help | url = https://www.facebook.com/help/1573156092981768/ | publisher = FaceBook Inc | access-date = 2021-05-17}}</ref>
ก่อนหน้านี้ก็เคยใช้ 
แต่ต่อมาก็เลิกหลังพบว่าจริง{{nbsp}}ๆ ลดความมั่นคงเพราะมนุษย์กลับสร้างความเสี่ยงเพิ่ม 
การบังคับเรื่องความซับซ้อนจึงทำให้รหัสผ่านมีรูปแบบที่เดาได้ง่ายมาก เช่น ใส่ตัวเลขด้านหลังรหัสผ่าน ใช้เลข 3 แทนอักษร E เป็นต้น จึงทำให้เจาะได้ง่าย 
ดังนั้น นโยบายปัจจุบันจึงแนะนำให้ใช้รหัสผ่านที่ตัวอักษรไม่ซับซ้อนแต่ยาว (เป็น[[พาสเฟรซ]]) 
กฎบังคับให้ซับซ้อนยังเพิ่มค่าใช้จ่ายในการสนับสนุนผู้ใช้ ทำความรำคาญให้ผู้ใช้ และเป็นอุปสรรคไม่ให้ผู้ใช้เปิดบัญชี 

นโยบายให้รหัสผ่านหมดอายุที่เคยใช้ก็พบว่าไม่ดีเหมือนกัน<ref name="tesla.tours"/>
ซึ่งต่อมารัฐบาลสหรัฐและสหราชอาณาจักรรวมทั้งบริษัทไมโครซอฟต์ก็เลิกใช้ทั้งหมด<ref>{{cite web | title = Security baseline (FINAL) for Windows 10 v1903 and Windows Server v1903 | date = 2019-05-23 | url = https://docs.microsoft.com/en-au/archive/blogs/secguide/security-baseline-final-for-windows-10-v1903-and-windows-server-v1903 | publisher = Microsoft | access-date = 2021-05-17}}</ref>
การมีวันหมดอายุเคยคิดว่ามีประโยชน์ดังนี้<ref name=LOPSA>{{cite web | url = http://lopsa.org/node/295 | title = In Defense of Password Expiration | publisher = League of Professional Systems Administrators | access-date = 2008-04-14 | url-status = dead | archive-url = https://web.archive.org/web/20081012063918/http://lopsa.org/node/295 | archive-date = 2008-10-12 }}</ref>
* ถ้าประเมินว่ารหัสผ่านหนึ่ง{{nbsp}}ๆ สามารถเจาะได้ในร้อยวัน การหมดอายุเร็วกว่านั้นอาจจะทำให้ไม่มีเวลาเจาะพอ 
* ถ้ารหัสผ่านถูกแฮ็กเอาไปแล้ว การบังคับให้เปลี่ยนเป็นประจำอาจจะจำกัดช่วงเวลาที่ผู้โจมตีสามารถเข้าใช้บัญชี 

แต่การหมดอายุของรหัสผ่านกลับมีข้อเสียว่า<ref name=WEB>
{{cite web | url = https://www.cesg.gov.uk/articles/problems-forcing-regular-password-expiry | title = The problems with forcing regular password expiry | date = 2016-04-15 | work = IA Matters | publisher = CESG: the Information Security Arm of GCHQ | access-date = 2016-08-05 | url-status = dead | archive-url = https://web.archive.org/web/20160817223701/https://www.cesg.gov.uk/articles/problems-forcing-regular-password-expiry | archive-date = 2016-08-17 }}
</ref><ref name=CERIAS>
{{cite web | url = http://www.cerias.purdue.edu/weblogs/spaf/general/post-30/ | title = Security Myths and Passwords | publisher = The Center for Education and Research in Information Assurance and Security | author = Spafford, Eugene | access-date = 2008-04-14 | url-status = live | archive-url = https://web.archive.org/web/20080411123000/http://www.cerias.purdue.edu/weblogs/spaf/general/post-30/ | archive-date = 2008-04-11 }}</ref>
* การให้ผู้ใช้เปลี่ยนรหัสผ่านบ่อย{{nbsp}}ๆ ทำให้ใช้รหัสผ่านที่ง่าย{{nbsp}}ๆ และอ่อนแอ 
* ถ้ามีรหัสผ่านที่แข็งแกร่งอยู่แล้ว ก็ไม่มีเหตุผลที่จะเปลี่ยน การเปลี่ยนอาจจะทำให้ได้รหัสผ่านที่แข็งแกร่งน้อยลง 
* ผู้โจมตีน่าจะใช้รหัสผ่านที่เจาะได้อย่างทันทีเพื่อติดตั้ง[[ประตูหลัง]]กับระบบโดยผ่านกระบวนการเพิ่มสิทธิพิเศษ หลังจากทำอย่างนี้ได้แล้ว การเปลี่ยนรหัสผ่านก็จะไม่สามารถป้องกันผู้โจมตีไม่ให้เข้าถึงระบบนั้น{{nbsp}}ๆ 

=== การสร้างและบริหารรหัสผ่าน ===
รหัสผ่านซึ่งเจาะได้ยากที่สุดสำหรับชุดอักขระและความยาวหนึ่ง{{nbsp}}ๆ จะเป็นสายอักขระที่เลือกอักษรโดยสุ่ม
ถ้ายาวพอก็จะทนต่อ[[การโจมตีด้วยกำลัง]]เพราะมีอักษรหลายตัว และการโจมตีแบบเดาเพราะมีค่าเอนโทรปีสูง
แต่ก็จะจำได้ยาก 
ดังนั้น การบังคับจะเพิ่มโอกาสให้ผู้ใช้เขียนบันทึกรหัสผ่าน เก็บไว้ในอุปกรณ์เคลื่อนที่ หรือแชร์กับคนอื่น{{nbsp}}ๆ เพื่อกันการจำไม่ได้ 
แม้บางคนจะพิจารณาว่าวิธีการจำรหัสผ่านเหล่านี้เพิ่มความเสี่ยงทางความมั่นคง คนอื่น{{nbsp}}ๆ ก็คิดว่า เป็นไปไม่ได้ที่จะหวังให้ผู้ใช้จำรหัสผ่านที่ซับซ้อนสำหรับบัญชีที่มีเป็นโหล{{nbsp}}ๆ 
ยกตัวอย่างเช่นในปี{{nbsp}}2005 ผู้เชี่ยวชาญทางความมั่นคง {{nowrap |บรูซ}} {{nowrap |ชไนเออร์}} แนะนำให้เขียนบันทึกรหัสผ่านดังนี้
{{Blockquote | quote = กล่าวง่าย{{nbsp}}ๆ ก็คือ เราไม่สามารถจำรหัสผ่านที่ดีพอเพื่อป้องกัน[[การโจมตีด้วยพจนานุกรม]] แต่จะปลอดภัยกว่าถ้าเลือกรหัสผ่านซึ่งยากเกินที่จะจำได้แล้วเขียนบันทึก  เราทุกคนสามารถเก็บกระดาษชิ้นเล็ก{{nbsp}}ๆ ให้ปลอดภัยได้ดี ผมแนะนำให้ทุกคนเขียนรหัสผ่านของตนในกระดาษชิ้นเล็ก{{nbsp}}ๆ แล้วเก็บไว้กับกระดาษที่มีค่าชิ้นเล็กอื่น{{nbsp}}ๆ คือในกระเป๋าตังค์<ref name="schneier.com"/>}}

วิธีการต่าง{{nbsp}}ๆ ดังต่อไปนี้อาจเพิ่มการยอมรับใช้รหัสผ่านที่แข็งแกร่งได้ถ้าดำเนินการอย่างระมัดระวัง 
* โปรแกรมฝึกหัด โดยให้เข้าโปรแกรมอีกถ้าไม่ทำตามนโยบายรหัสผ่าน (เช่น รหัสผ่านหาย รหัสผ่านไม่ดี เป็นต้น)
* ลดจำนวนหรือกำจัดการให้เปลี่ยนรหัสผ่านเพราะหมดอายุสำหรับผู้ที่ใช้รหัสผ่านที่แข็งแกร่ง มีโปรแกรมประเมินความแข็งแกร่งอย่างคร่าว{{nbsp}}ๆ ของรหัสผ่านซึ่งสามารถใช้เมื่อตั้งหรือเปลี่ยนรหัสผ่าน 
* ให้แสดงข้อมูลว่าได้ลงชื่อใช้บัญชีครั้งสุดท้ายเมื่อไร โดยหวังว่าผู้ใช้จะเห็นการลงชื่อเข้าบัญชีที่ไม่ได้อนุญาต ซึ่งแสดงว่ารหัสผ่านอาจจะถูกแฮ็ก 
* มีระบบอัตโนมัติที่ให้ผู้ใช้กู้รหัสผ่าน ซึ่งช่วยลดการติดต่อกับแอดมินเพื่อให้ช่วย แต่ปัญหาก็คือระบบกู้รหัสผ่านบางอย่างก็มีจุดอ่อนของตน{{nbsp}}ๆ เช่น ถ้าใช้การถามคำถามง่าย{{nbsp}}ๆ เกี่ยวกับผู้ใช้ ก็อาจเดาคำตอบได้ง่าย ซึ่งทำให้ผู้โจมตีสามารถใช้ระบบกู้รหัสผ่านตั้งแต่ต้นเพื่อเลี่ยงการแฮ็กรหัสผ่านที่แข็งแกร่ง
* ให้ใช้แต่รหัสผ่านที่สร้างโดยสุ่มซึ่งผู้ใช้ไม่สามารถเปลี่ยนได้ หรืออย่างน้อยก็ให้เป็นตัวเลือกอย่างหนึ่ง

=== วิธีการจำ ===
นโยบายรหัสผ่านบางครั้งจะแนะนำวิธีการจำรหัสผ่าน 
* ให้หาวลีช่วยจำแล้วใช้สร้างรหัสผ่าน ซึ่งเกือบจะเหมือนสุ่มแต่ก็ยังจำได้ง่าย เช่นการใช้อักษรตัวแรกของคำแต่ละคำในวลีที่จำได้ง่าย งานวิจัยประเมินว่าความแข็งแกร่งของรหัสผ่านดังว่าอยู่ที่ประมาณ 3.7{{nbsp}}บิตต่ออักษร เทียบกับ 6.6{{nbsp}}บิตต่ออักษรของรหัสผ่านที่เลือกอักษรโดยสุ่มจากชุดอักขระแอสกีที่แสดงผล<ref>{{cite conference | url = https://www.internetsociety.org/sites/default/files/ndss2017_03A-4_Kiesel_paper.pdf | title = A Large-scale Analysis of the Mnemonic Password Advice | authors = Kiesel, Johannes; Stein, Benno; Lucks, Stefan | year = 2017 | publisher = Internet Society | book-title = Proceedings of the 24th Annual Network and Distributed System Security Symposium (NDSS 17) | url-status = dead | archive-url = https://web.archive.org/web/20170330174637/https://www.internetsociety.org/sites/default/files/ndss2017_03A-4_Kiesel_paper.pdf | archive-date = 2017-03-30 | access-date = 2017-03-30 }}</ref> วลีที่ตลกหรือเหลวไหลอาจจะจำได้ง่ายกว่า<ref>[http://uc.iupui.edu/uploadedFiles/Learning_Center_Site/Mnemonic%20Devices.pdf ''Mnemonic Devices'' (Indianapolis, Ind.: Bepko Learning Ctr., University College)], as accessed January 19, 2010 {{webarchive | url = https://web.archive.org/web/20100610000727/http://uc.iupui.edu/uploadedFiles/Learning_Center_Site/Mnemonic%20Devices.pdf | date = 2010-06-10 }}</ref> วิธีอีกอย่างเพื่อสร้างรหัสผ่านสุ่มและจำได้ง่ายก็คือใช้[[คำ]]สุ่ม (เช่น {{nowrap |[[ไดซ์แวร์]]}}) หรือ[[พยางค์]]สุ่มจากรายการ
* การตั้งเรื่องช่วยจำรหัสผ่าน<ref>[http://changingminds.org/techniques/memory/remembering_passwords.htm Remembering Passwords (ChangingMinds.org)] {{webarchive | url = http://archive.wikiwix.com/cache/20100121181700/http://changingminds.org/techniques/memory/remembering_passwords.htm | date = 2010-01-21 }}, as accessed January 19, 2010</ref> โดยไม่ต้องเป็นเรื่องที่สมเหตุสมผล เพียงแต่ให้จำได้ ซึ่งช่วยให้ได้รหัสผ่านที่เป็นสุ่มจริง{{nbsp}}ๆ 
* การสร้างรหัสผ่านโดยเป็นรูป คืออาศัยลำดับแป้นพิมพ์ที่กด ไม่ต้องใส่ใจว่าเป็นตัวอักษรอะไร เช่น !qAsdE#2 มีรูปเป็น{{nowrap |สี่เหลี่ยม}}{{nowrap |ขนมเปียกปูน}}สำหรับคีย์บอร์ดสหรัฐ วิธีนี้มีชื่อว่า PsychoPass<ref name=":10">{{cite journal | last1 = Cipresso | first1 = P | last2 = Gaggioli | first2 = A | last3 = Serino | first3 = S | last4 = Cipresso | first4 = S | last5 = Riva | first5 = G | year = 2012 | title = How to Create Memorizable and Strong Passwords | journal = J Med Internet Res | volume = 14 | issue = 1 | page = e10 | doi = 10.2196/jmir.1906 | pmid = 22233980 | pmc = 3846346 }}</ref> แต่รหัสผ่านดังกล่าวก็แข็งแกร่งน้อยกว่าที่นับตามจำนวนอักษร เพราะอักษรแต่ละตัวจริง{{nbsp}}ๆ ไม่ได้เป็นอิสระจากตัวก่อน อนึ่ง ลำดับอักษรดังว่าก็มักจะรวมอยู่ในพจนานุกรมรหัสผ่าน แต่นักวิจัยก็ได้เสนอวิธีการปรับปรุงวิธีนี้ให้ดีขึ้น<ref> {{cite journal | pmc = 3742392 | pmid = 23942458 | doi = 10.2196/jmir.2366 | volume = 15 | issue = 8 | title = Security analysis and improvements to the PsychoPass method. | year = 2013 | journal = J Med Internet Res | page = e161 | last1 = Brumen | first1 = B | last2 = Heričko | first2 = M | last3 = Rozman | first3 = I | last4 = Hölbl | first4 = M }}</ref><ref> {{cite web | url = https://blogs.dropbox.com/tech/2012/04/zxcvbn-realistic-password-strength-estimation/ | title = zxcvbn: realistic password strength estimation | website = Dropbox Tech Blog | url-status = live | archive-url = https://web.archive.org/web/20150405131234/https://blogs.dropbox.com/tech/2012/04/zxcvbn-realistic-password-strength-estimation/ | archive-date = 2015-04-05}}</ref>
* การใช้รูปแบบรหัสผ่าน แต่ไม่ว่าจะเป็นรูปแบบใด{{nbsp}}ๆ ก็จะทำให้เดาได้ง่ายขึ้น ไม่ว่าจะเดาโดยระบบอัตโนมัติหรือไม่ 
** ยกตัวอย่างเช่นมีรูปแบบรหัสผ่านที่ใช้อักษรโรมันโดยไม่ไวตัวเล็กตัวใหญ่ คือ พยัญชนะ สระ พยัญชนะ พยัญชนะ สระ พยัญชนะ ตัวเลข ตัวเลข (เช่น pinray45) รูปแบบการสลับพยัญชนะกับสระหมายให้ออกเสียงรหัสผ่านได้ ดังนั้น จึงจำได้ง่ายกว่า แต่รูปแบบดังกล่าวก็ลดเอนโทรปีของรหัสผ่านเป็นอย่างมาก ทำให้การโจมตีด้วยกำลังมีประสิทธิภาพยิ่งกว่ามาก ถึงกระนั้น จนถึงเดือนตุลาคม 2005ตุลาคม 2005 เจ้าหน้าที่ของรัฐใน{{nowrap |สหราชอาณาจักร}}ก็ยังได้คำแนะนำให้ใช้รหัสผ่านในรูปแบบนี้{{ต้องการอ้างอิงเฉพาะส่วน | date = January 2012}}

== โปรแกรมจัดการรหัสผ่าน ==
{{บทความหลัก |โปรแกรมจัดการรหัสผ่าน}}
{{ต้องการอ้างอิง-ส่วน | date = August 2023}}
วิธีการผ่อนผันการบันทึกรหัสผ่านก็คือให้เก็บไว้ใน[[โปรแกรมจัดการรหัสผ่าน]] ซึ่งอาจรวมแอปต่างหาก รวมส่วนขยายเว็บบราวเซอร์ หรือเป็นตัวเก็บรหัสผ่านของ[[ระบบปฏิบัติการ]]เอง
นี่ทำให้ผู้ใช้สามารถมีรหัสผ่านเป็นร้อย{{nbsp}}ๆ โดยต้องจำรหัสผ่านเพียงแค่รหัสเดียว คือที่ใช้เปิดฐานข้อมูลที่เข้ารหัสลับไว้<ref>{{Cite web | title = The Emperor's New Password Manager: Security Analysis of Web-based Password Managers {{!}} EECS at UC Berkeley | url = https://www2.eecs.berkeley.edu/Pubs/TechRpts/2014/EECS-2014-138.html | access-date = 2023-10-01 | website = www2.eecs.berkeley.edu}}</ref>
ดังนั้น จึงควรสร้างรหัสผ่านเดี่ยวนี้ให้แข็งแกร่งและเก็บรักษาไว้เป็นอย่างดี 
โปรแกรมบางอย่างมีตัวสร้างรหัสผ่านสุ่มที่มั่นคงตามหลักวิทยาการเข้ารหัสลับ โดยบางตัวก็คำนวณค่าเอนโทรปีของรหัสผ่านที่สร้างได้ด้วย 
โปรแกรมที่ดีจะมีการป้องกันที่ทนทานต่อการโจมตีต่าง{{nbsp}}ๆ เช่น การบันทึกแป้นพิมพ์ การบันทึกคลิปบอร์ด และการสอดแนมดูข้อมูลความจำของคอมพิวเตอร์โดยวิธีต่าง{{nbsp}}ๆ 

== ดูเพิ่ม ==
* [[พาสเฟรซ]]
* [[ฟิชชิง]]
* [[ช่องโหว่ (คอมพิวเตอร์)]]
* [[Keystroke logging]]

== เชิงอรรถและอ้างอิง ==
{{รายการอ้างอิง | 30em}}

== แหล่งข้อมูลอื่น ==
* [https://tools.ietf.org/html/rfc4086 RFC 4086: Randomness Requirements for Security]
* [https://web.archive.org/web/20160416035311/http://www.architectingsecurity.com/2010/09/11/password-patterns/ Password Patterns:The next generation dictionary attacks]
[[หมวดหมู่:วิทยาการเข้ารหัสลับ]]
[[หมวดหมู่:รหัสผ่าน]]
[[หมวดหมู่:การจัดการรหัสผ่าน]]
[[หมวดหมู่:ความมั่นคงของระบบคอมพิวเตอร์]]
[[หมวดหมู่:ความมั่นคงของเครือข่ายคอมพิวเตอร์]]
[[หมวดหมู่:การพิสูจน์ตัวจริงด้วยรหัสผ่าน]]