Генератор паролей

Что делает Генератор паролей

Этот инструмент создаёт надёжные случайные пароли полностью внутри вашего браузера. Вы выбираете длину (от 4 до 256 символов), сколько паролей сгенерировать за один раз (до 50) и из каких семейств символов их составлять: строчные буквы, прописные буквы, цифры и символы. Есть также переключатель «исключить неоднозначные», который убирает символы, чаще всего набираемые с ошибкой или путаемые, — прописную I, строчную l, цифру 1, прописную O, цифру 0 и строчную o. Это инструмент, к которому вы обращаетесь всякий раз, когда вам нужен свежий, неугадываемый секрет: при создании учётной записи, смене пароля после уведомления об утечке, генерации учётных данных базы данных или службы либо наполнении менеджера паролей значением, которое ни один человек никогда не придумал бы.

Как он создаёт по-настоящему случайный пароль

Важная деталь — источник случайности. Этот генератор использует криптографический генератор случайных чисел браузера, crypto.getRandomValues(), а не обычный Math.random(), на котором работает большинство быстрых скриптов. Math.random() быстрый, но предсказуемый, и его никогда нельзя использовать для секретов; криптографический источник спроектирован так, чтобы быть непредсказуемым даже для злоумышленника, видящего предыдущий вывод. Вдобавок инструмент избегает тонкого статистического изъяна, называемого смещением по модулю. Если вы наивно возьмёте сырое 16-битное число и приведёте его с помощью value % poolSize, младшие символы в пуле становятся совсем немного вероятнее всякий раз, когда размер пула не делится нацело на 65536. Чтобы этого избежать, генератор применяет выборку с отбрасыванием: он отбрасывает небольшой непригодный хвост диапазона и оставляет только те значения, что идеально равномерно отображаются на пул символов, так что каждый символ ровно настолько же вероятен, как и любой другой. Он также гарантирует по меньшей мере один символ из каждого включённого вами набора, а затем выполняет криптографическое перемешивание Фишера — Йейтса, чтобы эти гарантированные символы не стояли предсказуемо в начале.

Сила исходит от энтропии, измеряемой в битах, а энтропия — это просто длина, умноженная на логарифм по основанию 2 от размера пула. Объединённый пул здесь — это 26 строчных + 26 прописных + 10 цифр + 25 символов = 87 возможных символов, что составляет около 6.4 бита на символ.

• Только цифры (пул 10) — около 3.3 бита на символ; годится для одноразового кода, но слабо для учётной записи.
• Строчные + цифры (пул 36) — около 5.2 бита на символ.
• Все четыре набора (пул 87) — около 6.4 бита на символ, так что 16-символьный пароль несёт примерно 103 бита энтропии, а 20-символьный переходит рубеж в 128 бит.

Практические советы и подводные камни

Длина побеждает изобретательность: длинный пароль из меньшего алфавита почти всегда лучше короткого, набитого символами, и его гораздо легче хранить. Включайте «исключить неоднозначные» только тогда, когда человек будет читать пароль вслух или набирать его вручную, — это слегка сужает пул, поэтому добавьте пару символов для компенсации. Некоторые сайты молча отклоняют определённые символы или ограничивают длину; если пароль не принимается, уберите набор символов или укоротите его, а не считайте, что инструмент дал сбой. Никогда не используйте один пароль повторно на разных сайтах — генерируйте уникальный каждый раз и держите его в менеджере паролей, ведь весь смысл 100-битного секрета теряется в тот миг, когда он общий для нескольких учётных записей. Надёжный пароль защищает вход; если вы также хотите, чтобы само соединение оставалось приватным, для этого и существует s4m VPN.

Ваши пароли никогда не покидают эту страницу

Каждый пароль генерируется на вашем собственном устройстве локальным JavaScript. Ничто из того, что вы настраиваете, и ничто из созданного не отправляется в s4m, никуда не загружается и не записывается ни в какой журнал — сетевого запроса здесь нет вообще. Это важно здесь больше, чем почти для любого другого инструмента: генератор паролей, передающий свой вывод, был бы бесполезен, ведь секрет оказался бы раскрыт ещё до того, как вы им воспользовались. Вы можете убедиться в этом сами, открыв вкладку сети в своём браузере во время нажатия «Сгенерировать», или полностью отключившись от интернета — генератор продолжит работать, потому что ему всегда был нужен лишь собственный источник случайности вашего браузера.