Generator haseł

Hasło, którego naprawdę da się używać

Większość generatorów wyrzuca szesnaście znaków szumu i uznaje robotę za skończoną. A potem trzeba to wpisać na telewizorze, podyktować koledze przez telefon albo przepisać z naklejki do ustawień routera — i okazuje się, że w wydanym haśle stoją obok siebie małe „l”, wielkie „I” oraz cyfra „1”. Hasło było mocne. Było też nie do użycia.

Ten generator traktuje czytelność jako część wymagań, a nie jako miły dodatek. Podobne znaki są domyślnie wyłączone, więc klasyczne pary myląco bliskich liter w wyniku się nie pojawiają. Do każdego hasła dołącza zapis fonetyczny według alfabetu NATO — i rozmowa telefoniczna zmienia się z „el małe, nie, to drugie” w „Lima, Alfa, siedem”. A wskaźnik siły pokazuje zapas w bitach i szacowany czas złamania offline, więc widać, co dokładnie się dostało.

Cztery rodzaje sekretu

Mocne. Losowe znaki z mieszanego alfabetu. Właściwy wybór do wszystkiego, co leży w menedżerze haseł i czego nigdy nie wpisuje się ręcznie. Jedyna dźwignia, która ma tu znaczenie, to długość.

Fraza do zapamiętania. Kilka niepowiązanych słów pod rząd. Cztery losowe słowa z dużej listy są trudniejsze do złamania niż jedno pokaleczone słowo ze znakiem dolara, a przy tym da się je utrzymać w głowie. To tryb dla tych kilku haseł, które trzeba pamiętać bez podpowiedzi: logowanie do urządzenia i do samego menedżera haseł.

PIN. Same cyfry — do zamków szyfrowych, kart SIM i sejfów. Z natury krótki, więc chroni go nie długość, tylko blokada po kilku nieudanych próbach.

Do dyktowania. Składa się z sylab, w których spółgłoski przeplatają się z samogłoskami, więc wynik daje się wymówić, a zatem i podyktować. Sięgnij po niego wtedy, gdy hasło musi przejść przez żywego człowieka.

Co oznaczają bity

Zapas w bitach to miara tego, ile prób potrzebuje włamywacz, a skala jest wykładnicza: każdy dodatkowy bit podwaja pracę. Poniżej 50 bitów dobrze wyposażony napastnik z wykradzionymi skrótami przechodzi w dobę. W okolicach 70 bitów ten sam atak zajmuje lata. Powyżej 90 bitów liczba przestaje być problemem praktycznym, a słaby punkt przenosi się gdzie indziej — na powtarzanie tego samego hasła, na phishing, na serwis, który przechowuje hasła byle jak.

I trzeba to powiedzieć wprost: długość jest jedynym pokrętłem z prawdziwą dźwignią. Dodanie czterech znaków daje więcej niż jakikolwiek układ symboli, a klasyczna porada o mieszaniu wielkości liter z interpunkcją zrodziła głównie hasła niewygodne dla ludzi i ledwie trudniejsze dla maszyn.

Z przeglądarki nic nie wychodzi

Hasło powstaje na twoim urządzeniu przez crypto.getRandomValues(). Naciśnięcie przycisku nie wywołuje zapytania do serwera, nie ma dziennika i nie ma konta. Można to sprawdzić samemu: otwórz panel sieci w przeglądarce i wygeneruj hasło — nie wysyła się nic. Właśnie ta cecha jest powodem, żeby wybrać generator lokalny zamiast takiego, który tworzy twój sekret tam, gdzie nie masz wglądu.