سازنده رمز به‌یادماندنی

دهه‌ها سیاست امنیت IT رمز با مخلوط حروف بزرگ، عدد و نماد غریب می‌خواست (مثلاً Tr0ub4dour&3). مشکل این است که این رمزها برای انسان بسیار سخت حفظ می‌شوند و کاربر آن‌ها را روی یادداشت چسبی می‌نویسد، در سایت‌ها تکرار می‌کند یا قابل‌پیش‌بینی عوض می‌کند (مثلاً P@ssword1 را به P@ssword2).

اما الگوریتم مدرن شکستن رمز می‌تواند این رمزهای ۸ نویسه‌ای پرنماد را در چند دقیقه brute-force کند. سنجه واقعی قدرت رمز در برابر رایانه آنتروپی (طول) است.

با روش Diceware و کنار هم گذاشتن ۴ یا ۵ واژه تصادفی فرهنگ (مثل correct-horse-battery-staple) عبارت عبوری بالای ۲۵ نویسه می‌سازید. جایگشت ریاضی آن‌قدر گسترده است که ابررایانه میلیون‌ها سال برای حدس طول می‌کشد، اما انسان با تصویر اسبی که منگنه باتری‌دار دارد عبارت را همان لحظه حفظ می‌کند.

اگر واژه تصادفی نمی‌خواهید، روش یادآور جایگزین کامل است. از حافظه بلندمدت موجود شما استفاده می‌کند.

مثلاً جمله‌ای که هرگز فراموش نمی‌کنید: «In 1969, Neil Armstrong walked on the moon for the 1st time!»

سازنده یادآور Utiliome نویسه اول هر واژه را برمی‌دارد، عدد را نگه می‌دارد و نشانه‌گذاری را حفظ می‌کند و نتیجه می‌شود: I1,NAwotmft1t!

این رمز ۱۴ نویسه‌ای با حروف بزرگ، کوچک، عدد و نماد است که الزام سخت IT سازمانی را راحت برآورده می‌کند. برای مهاجم بی‌معنی مطلق به نظر می‌رسد، اما برای شما بازسازی ذهنی با خواندن جمله بدیهی است.

همه مولدهای تصادفی برابر نیستند. بسیاری از وب‌سایت‌های آماتور سازنده رمز به تابع داخلی Math.random() در JavaScript تکیه دارند. این نقص امنیتی بزرگ است، چون Math.random() مولد عدد شبه‌تصادفی (PRNG) است و برای مهاجم بسیار قابل‌پیش‌بینی است.

سازنده رمز به‌یادماندنی Utiliome فقط از Web API یعنی window.crypto.getRandomValues() استفاده می‌کند. این مستقیم به سیستم‌عامل دستگاه (مثل macOS یا Windows) وصل می‌شود و آنتروپی رمزنگاری واقعی را از رویداد سخت‌افزار (مثل حرکت ماوس و نویز حرارتی CPU) جمع می‌کند. پس واژه‌های Diceware ساخته‌شده از نظر ریاضی غیرقابل‌پیش‌بینی‌اند.

یادداشت روش: در ممیزی امنیت ۲۰۲۶ به‌صورت ایستا تأیید کردیم ۱۰۰٪ انتخاب اندیس تصادفی فهرست واژه EFF از خط لوله امن WebCrypto می‌گذرد.

مفهوم اصلی Diceware را آرنولد راینهولد در ۱۹۹۵ اختراع کرد. اما فهرست اصلی او واژه‌های مبهم، غلط تایپی و املای غیرشهودی زیاد داشت که کاربر را ناامید می‌کرد.

در ۲۰۱۶ بنیاد مرز الکترونیکی (EFF) فهرست واژه‌ای تازه پژوهش‌شده و بسیار بهینه منتشر کرد. واژه توهین‌آمیز، هم‌آوا (واژه‌هایی که یکسان شنیده می‌شوند اما متفاوت نوشته می‌شوند) و واژه بلندتر از شش حرف را دقیق فیلتر کرد.

Utiliome فهرست رسمی EFF را بومی در حافظه برنامه جا می‌دهد. این تضمین می‌کند عبارت عبوری ساخته‌شده همه‌جا آسان تایپ، تلفظ و حفظ شود.

هرگز از سازنده آنلاین رمزی استفاده نکنید که برای نمایش نتیجه درخواست شبکه می‌زند. اگر سرور رمز را می‌سازد، مدیر سرور — یا مهاجمی که شبکه را پایش می‌کند — می‌تواند رمز تازه را همراه نشانی IP شما ثبت کند.

Utiliome با معماری اعتماد صفر و محلی‌محور کار می‌کند. HTML، CSS و منطق WebAssembly/JavaScript در مرورگر بار می‌شود و ریاضی ساخت رمز کاملاً روی CPU محلی اجرا می‌گردد. پس از بارگذاری صفحه می‌توانید روتر Wi-Fi را امن قطع کنید و سازنده همچنان درست کار می‌کند.

مدیر رمز ابزار ضروری امنیت اینترنت مدرن است و اجازه می‌دهد برای هر سرویس رمز پیچیده بی‌معنی بسازید و ذخیره کنید. اما این یک نقطه شکست واحد می‌سازد: باید یک «رمز اصلی» فوق‌العاده قوی را حفظ کنید تا خزانه رمزگشایی شود.

اگر رمز اصلی را فراموش کنید دسترسی به کل زندگی دیجیتال را از دست می‌دهید. اگر رمز اصلی ضعیف باشد مهاجم می‌تواند خزانه را brute-force کند.

سازنده رمز به‌یادماندنی Utiliome مشخصاً برای حل همین مسئله طراحی شده. با ساخت عبارت عبوری Diceware چهار یا پنج‌واژه‌ای، خزانه مدیر رمز را با رمزنگاری غیرقابل‌شکست امن می‌کنید و مطمئن می‌شوید عبارت را فراموش نمی‌کنید.

برای اینکه کی از کدام استفاده کنید، Diceware در برابر مدیر رمز را ببینید.