כיצד מחושבת אנטרופיה מתמטית
אנטרופיה מתמטית נמדדת בביטים ומייצגת את גודל מרחב החיפוש של המפתח. נוסחת שנון משקללת את אורך המחרוזת ואת גודל מאגר התווים הזמינים: אותיות קטנות וגדולות, ספרות, תווים מיוחדים ותווי יוניקוד מורחבים.
עבור ביטויי סיסמה בשיטת EFF Diceware החישוב שונה: נבחרות מילים אקראיות מתוך רשימה תקנית של 7,776 מילים. כל מילה מוסיפה כ-12.92 ביט של אנטרופיה טהורה, מה שמאפשר יצירת ביטויים קלים לזכירה עם עמידות גבוהה לפיצוח.
| טווח אנטרופיה | הערכת עמידות | זמן פיצוח משוער (מערך 8x RTX 4090) | רמת הגנה בעולם האמיתי |
|---|---|---|---|
| מתחת ל-40 ביט | חלש מאוד | פחות משנייה | נפרץ מיידית על ידי סורקים אוטומטיים |
| 40-64 ביט | חלש | משניות ועד מספר שעות | פגיע למתקפות מילון וחיפוש מבוסס תבניות |
| 65-79 ביט | בינוני | מספר ימים עד חודשים | עמיד למתקפות כלליות; פגיע למתקפה ממוקדת |
| 80-99 ביט | חזק | עשרות שנים עד אלפי שנים | עמידות מלאה לניחוש מתמטי לא מקוון |
| 100+ ביט | קריפטוגרפי | מיליוני שנים | בלתי ניתן לפיצוח מתמטי ללא פגיעה במכשיר הקצה |
מדוע 100 ביט אנטרופיה אינם מספיקים ללא 2FA
אנטרופיה גבוהה מונעת לחלוטין פיצוח של גיבוב הסיסמה במעבדה. עם זאת, בתשתיות עסקיות תוקפים כמעט ואינם מנחשים סיסמאות מורכבות: הם גונבים אותן באמצעות תוכנות זדוניות, לוכדים אותן בעמודי פישינג או שולפים אותן מזיכרון הדפדפן.
ללא אימות דו-שלבי חומרתי (FIDO2 / YubiKey), גם סיסמה של 120 ביט נותרת נקודת כשל יחידה. בעת הזנת פרטים בעמוד מתחזה או במחשב נגוע, התוקף מקבל גישה מיידית ללא תלות באורך הסיסמה.