Генератор паролів
Надійні паролі, фрази, які легко запам'ятати, і те, про що забувають усі інші, — фонетика, щоб продиктувати пароль телефоном без «ель маленька, ні, інша».
Пробіл — згенерувати
Пароль, яким справді можна користуватися
Більшість генераторів видають шістнадцять символів шуму й вважають роботу зробленою. А потім це потрібно ввести на телевізорі, продиктувати колезі телефоном або перенести з наліпки в налаштування роутера — і виявляється, що у виданому паролі поряд стоять рядкова «l», велика «I» та цифра «1». Пароль був надійним. Він же був непридатним.
Цей генератор вважає читабельність частиною вимог, а не приємним додатком. Схожі символи виключені за замовчуванням, тому класичних пар-плутанин у результаті не буває. До кожного пароля йде фонетична розшифровка за алфавітом НАТО — і телефонна розмова перетворюється з «ель маленька, ні, інша» на «Lima, Alfa, сім». А індикатор надійності показує запас у бітах та оцінку часу офлайн-злому, тож видно, що саме ви отримали.
Чотири види секрету
Надійний. Випадкові символи зі змішаного алфавіту. Правильний вибір для всього, що лежить у менеджері паролів і ніколи не набирається руками. Єдиний важіль, який тут має значення, — довжина.
Фраза, яку легко запам'ятати. Кілька непов'язаних слів підряд. Чотири випадкові слова з великого списку зламати важче, ніж одне перекручене слово зі знаком долара, і їх можна тримати в голові. Це режим для тих кількох паролів, які доводиться пам'ятати без підказок: вхід у пристрій і сам менеджер паролів.
PIN. Тільки цифри — для кодових замків, SIM-карт і сейфів. За природою короткий, тому захист тут не від довжини, а від блокування після кількох невірних спроб.
Для диктування. Збирається зі складів, де приголосні чергуються з голосними, тому результат вимовляється, а отже й диктується. Беріть його, коли пароль має пройти через живу людину.
Що означають біти
Запас у бітах — це міра того, скільки спроб потрібно зламувачу, і шкала експоненційна: кожен додатковий біт подвоює роботу. Нижче 50 біт добре оснащений зламувач із украденими хешами проходить за добу. Близько 70 біт та сама атака займає роки. За 90 біт число перестає бути практичною проблемою, і слабке місце зміщується в інше місце — у повторне використання пароля, у фішинг, у сервіс, який зберігає паролі погано.
І це варто сказати прямо: довжина — єдина ручка зі справжнім важелем. Додати чотири символи корисніше за будь-яке розставляння знаків, а класична порада мішати регістри й пунктуацію здебільшого породила паролі, незручні людям і навряд чи складніші для машин.
З браузера нічого не виходить
Пароль створюється на вашому пристрої через crypto.getRandomValues(). При натисканні кнопки
немає звернення до сервера, немає журналу й немає акаунта. Це можна перевірити самому: відкрийте мережеву
панель браузера й згенеруйте — не надсилається нічого. Саме ця властивість і є причиною віддати перевагу
локальному генератору перед тим, який створює ваш секрет там, куди ви не бачите.
Часті питання
Пароль кудись надсилається?
Ні. Він створюється у вашому браузері через crypto.getRandomValues() і нікуди не передається. Відкрийте мережеву панель і натисніть кнопку — запиту не буде. Акаунтів у нас немає, журналів теж.
Якої довжини має бути пароль?
Шістнадцять випадкових символів для всього, що живе в менеджері паролів, і чотири випадкові слова або більше для тих кількох, які доводиться пам'ятати самому. Довжина — єдиний важіль зі справжнім ефектом: додати символів корисніше, ніж додати знаків пунктуації.
Словесні фрази справді не слабші за випадкові символи?
Чотири непов'язані слова з великого списку сильніші за одне перекручене слово зі знаком, і їх справді можна запам'ятати. Важливо, щоб слова вибирала випадковість: придумана вами фраза значно слабша, ніж здається.
Чому деяких літер і цифр немає?
Рядкова «l», велика «I», цифра «1», велика «O» і цифра «0» виключені, бо люди їх плутають під час читання та введення. Втрата п'яти символів коштує частки біта запасу й економить один дзвінок у підтримку.
Для чого фонетична розшифровка?
Щоб диктувати пароль голосом. Кожен символ передається словом з алфавіту НАТО, і замість «ель маленька, потім A, потім сім — ні, маленька» виходить «Lima, Alfa, сім».
Як рахується час злому?
Із запасу в бітах — за розміром алфавіту й довжиною, у припущенні офлайн-атаки на украдені хеші на нинішніх швидкостях споживчих відеокарт. Це орієнтир за порядком величини, а не обіцянка, і він нічого не говорить про фішинг чи про сервіс, який зберігає паролі відкритим текстом.