Bezpieczny generator haseł

Szczegóły

O tym narzędziu

Generuje hasła według reguł, które sam ustawiasz: długość, ile naraz, które grupy znaków włączyć i czy pominąć znaki łatwe do pomylenia. Każda włączona grupa na pewno pojawi się przynajmniej raz.

O sile hasła decyduje długość, i to z większym zapasem, niż sugeruje większość porad. Każdy dodatkowy znak mnoży liczbę możliwości przez rozmiar alfabetu, więc dołożenie jednego znaku daje więcej niż jakiekolwiek przestawianie. Dwunastoznakowe losowe hasło z pełnego alfabetu jest już poza zasięgiem ataku siłowego dla wszystkich poza zdeterminowanym napastnikiem z wyciekniętym skrótem; szesnaście do dwudziestu to rozsądna wartość domyślna i dlatego to narzędzie zaczyna od dwudziestu.

Czego siła hasła nie daje, to wyglądanie na skomplikowane. Zamiana a na @ i dopisanie jedynki na końcu to pierwsza rzecz, którą sprawdza każdy słownik łamiący hasła, bo te reguły opublikowano dekady temu i implementuje je każde narzędzie. „Tr0ub4dor&3” jest słabsze niż cztery niepowiązane słowa, a wzorzec łatwy do zapamiętania jest łatwy do zapamiętania także dla programu. Jedynym pewnym źródłem siły jest prawdziwa losowość i na niej to narzędzie się opiera.

Opcja pomijania znaków dwuznacznych usuwa pary sprawiające kłopot, gdy hasło jest dyktowane albo przepisywane ręcznie - O i 0, l oraz 1 i I. Kosztuje odrobinę entropii, którą dodatkowa długość z nawiązką nadrabia, a oszczędza telefon w sprawie hasła, które nie działa.

Losowość pochodzi z crypto.getRandomValues, czyli kryptograficznego generatora przeglądarki, a nie z Math.random - ta druga jest przewidywalna z kilku wyników i nie ma czego szukać przy tworzeniu poświadczeń. Nic nie jest wysyłane ani zapisywane, czego pilnuje test przerywający budowanie, gdyby jakiekolwiek żądanie z tej strony zawierało wygenerowane hasło. Właściwym miejscem na wynik jest menedżer haseł: mocne hasło, którego nie da się zapamiętać, przydaje się tylko wtedy, gdy coś pamięta je za Ciebie.

Warto wiedzieć

Najczęstsze pytania

Czy wygenerowane hasła trafiają na serwer?

Nie. Powstają w przeglądarce i nigdy nie są przesyłane ani zapisywane. Automatyczny test przerywa budowanie, jeśli jakiekolwiek żądanie sieciowe z tej strony zawiera wygenerowane hasło - ta gwarancja jest egzekwowana, a nie obiecywana.

Czy każda wybrana grupa znaków wystąpi?

Tak. Jeśli włączysz cyfry i symbole, w każdym haśle znajdzie się co najmniej jeden z każdej grupy. Bez tej gwarancji losowanie od czasu do czasu daje hasło bez cyfry, które system z regułą złożoności odrzuca - a typową reakcją jest ręczna poprawka, czyli dokładnie to, co hasło osłabia.

Jak długie powinno być hasło?

Szesnaście do dwudziestu znaków przy wszystkim, co ma znaczenie, i więcej przy haśle głównym do menedżera haseł albo kluczu do szyfrowania dysku. Długość bije złożoność: każdy dodatkowy znak mnoży przestrzeń przeszukiwania, a zamiana litery na symbol tylko ją przestawia. Krótkiego hasła nie uratuje żadna pomysłowość.

Czy „P@ssw0rd1” to mocne hasło?

Nie - to jedna z pierwszych rzeczy, które sprawdza każde narzędzie do łamania. Reguły podstawień w rodzaju @ zamiast a i 0 zamiast o opublikowano dekady temu i są wbudowane w każdy atak słownikowy, więc słowo z przewidywalnymi podstawieniami jest ledwie trudniejsze do zgadnięcia niż samo słowo. Pomaga wyłącznie losowość.

Czy mogę użyć tego samego hasła w kilku miejscach?

Nigdy. Powtarzanie haseł zamienia wyciek u jednej firmy w przejęcie wszystkich Twoich kont, bo atakujący biorą wyciekłe pary adres-hasło i próbują ich wszędzie. Osobne hasło na każdą stronę i menedżer haseł, który je trzyma - po to właśnie taki generator jest przydatny.