ماشینحساب آنتروپی
جزئیات فنی
ماشینحساب آنتروپی چگونه کار میکند
این ابزار چه کاری انجام میدهد
ماشینحساب آنتروپی، آنتروپی شانون یک رشتهٔ متنی را اندازهگیری میکند و گزارش میدهد که بهازای هر کاراکتر و در مجموع چند بیت اطلاعات دارد. آنتروپی بالاتر یعنی رشته تصادفیتر و کمقابلپیشبینیتر است؛ آنتروپی پایینتر نشاندهندهٔ محتوای تکراری یا ساختاریافته است. ابزار همچنین توزیع فراوانی کاراکترها را نشان میدهد تا به بصریسازی منبع آنتروپی کمک کند.
موارد استفادهٔ رایج برای توسعهدهندگان
مهندسان امنیت از ماشینحسابهای آنتروپی برای ارزیابی تصادفیبودن گذرواژهها، کلیدهای API، توکنها و seedهای رمزنگاری پیش از استفاده در محیط تولید استفاده میکنند. توسعهدهندگان از آن برای بررسی اینکه آیا یک secret تولیدشده برای سطح امنیتی موردنظر آنتروپی کافی دارد، برای ممیزی سیاستهای گذرواژه، و برای شناسایی رشتههای مشکوک با آنتروپی پایین که ممکن است نشاندهندهٔ اعتبارنامههای ضعیف یا قابلپیشبینی باشند استفاده میکنند.
قالبها، نوعها یا گونههای داده
آنتروپی شانون H بهصورت -Σ p(x) log2 p(x) روی همهٔ کاراکترهای یکتای x محاسبه میشود، که در آن p(x) احتمال کاراکتر x در رشته است. نتیجه بهصورت بیت بهازای هر کاراکتر (حداکثر log2(alphabet size)) و بیت کل (بیت بهازای هر کاراکتر × طول رشته) بیان میشود. برای یک گذرواژهٔ تصادفی 20 کاراکتری که از یک مجموعهٔ ASCII قابلچاپ 95 کاراکتری انتخاب شده باشد، حداکثر آنتروپی نظری حدود 131 بیت است.
دامهای رایج و حالتهای لبهای
آنتروپی شانون تصادفیبودن آماری نمونه را اندازه میگیرد اما امنیت رمزنگاری را تضمین نمیکند — یک رشته میتواند آنتروپی بالا داشته باشد اما همچنان توسط یک PRNG ضعیف تولید شده باشد. آنتروپی یک رشتهٔ کوتاه برآوردگر ضعیفی از تصادفیبودن واقعی است زیرا توزیع کاراکترها واریانس بالایی دارد. آنتروپی فقط روی کاراکترهای قابلمشاهده محاسبه میشود؛ کُدگذاری (hex، Base64) طول ظاهری را افزایش میدهد بدون اینکه تصادفیبودن زیربنایی را بیشتر کند.
چه زمانی از این ابزار استفاده کنیم در برابر کُد
از این ابزار مرورگری برای بررسی سریع آنتروپی در حین بازبینیهای امنیتی یا ممیزی اعتبارنامهها استفاده کنید. برای اعتبارسنجی خودکار قدرت secret در پایپلاینهای CI یا کد برنامه، آنتروپی شانون را بهصورت یک تابع کمکی پیادهسازی کنید یا از یک کتابخانهٔ اختصاصی قدرت گذرواژه استفاده کنید که آنتروپی را همراه با تشخیص الگو برای ارزیابی کاملتر ترکیب میکند.