Генератор паролей

Пароль, которым реально можно пользоваться

Большинство генераторов выдают шестнадцать символов шума и считают работу сделанной. А потом это нужно ввести на телевизоре, продиктовать коллеге по телефону или перенести с наклейки в настройки роутера — и обнаруживается, что в выданном пароле рядом стоят строчная «l», заглавная «I» и цифра «1». Пароль был надёжным. Он же был непригодным.

Этот генератор считает читаемость частью требований, а не приятным дополнением. Похожие символы исключены по умолчанию, поэтому классических пар-путаниц в результате не бывает. К каждому паролю идёт фонетическая расшифровка по алфавиту НАТО — и телефонный разговор превращается из «эль маленькая, нет, другая» в «Lima, Alfa, семь». А индикатор надёжности показывает запас в битах и оценку времени офлайн-взлома, так что видно, что именно вы получили.

Четыре вида секрета

Надёжный. Случайные символы из смешанного алфавита. Правильный выбор для всего, что лежит в менеджере паролей и никогда не набирается руками. Единственный рычаг, который тут важен, — длина.

Запоминаемая фраза. Несколько несвязанных слов подряд. Четыре случайных слова из большого списка взломать труднее, чем одно исковерканное слово со знаком доллара, и их можно держать в голове. Это режим для тех нескольких паролей, которые приходится помнить без подсказок: вход в устройство и сам менеджер паролей.

PIN. Только цифры — для кодовых замков, SIM-карт и сейфов. По природе короткий, поэтому защита тут не от длины, а от блокировки после нескольких неверных попыток.

Диктуемый. Собирается из слогов, где согласные чередуются с гласными, поэтому результат произносится, а значит и диктуется. Берите его, когда пароль должен пройти через живого человека.

Что означают биты

Запас в битах — это мера того, сколько попыток нужно взломщику, и шкала экспоненциальная: каждый дополнительный бит удваивает работу. Ниже 50 бит хорошо оснащённый взломщик с украденными хешами проходит за сутки. Около 70 бит та же атака занимает годы. За 90 бит число перестаёт быть практической проблемой, и слабое место смещается в другое место — в повторное использование пароля, в фишинг, в сервис, который хранит пароли плохо.

И это стоит сказать прямо: длина — единственная ручка с настоящим рычагом. Добавить четыре символа полезнее любой расстановки знаков, а классический совет мешать регистры и пунктуацию в основном породил пароли, неудобные людям и едва ли сложнее для машин.

Из браузера ничего не уходит

Пароль создаётся на вашем устройстве через crypto.getRandomValues(). При нажатии кнопки нет обращения к серверу, нет журнала и нет аккаунта. Это можно проверить самому: откройте сетевую панель браузера и сгенерируйте — не отправляется ничего. Именно это свойство и есть причина предпочесть локальный генератор тому, который создаёт ваш секрет там, куда вы не видите.