Генератор паролів

Що робить Генератор паролів

Цей інструмент створює надійні випадкові паролі повністю у вашому браузері. Ви обираєте довжину (від 4 до 256 символів), скільки паролів згенерувати за один раз (до 50) і з яких родин символів їх складати: малі літери, великі літери, цифри та символи. Є також перемикач «виключити неоднозначні», що прибирає символи, які люди найчастіше набирають помилково чи плутають, — велику I, малу l, цифру 1, велику O, цифру 0 та малу o. Це інструмент, до якого ви звертаєтеся щоразу, коли вам потрібен свіжий, невгадуваний секрет: під час створення облікового запису, зміни пароля після повідомлення про витік, генерування облікових даних бази даних чи служби або наповнення менеджера паролів значенням, яке жодна людина ніколи не вигадала б.

Як він створює по-справжньому випадковий пароль

Важлива деталь — джерело випадковості. Цей генератор використовує криптографічний генератор випадкових чисел браузера, crypto.getRandomValues(), а не звичайний Math.random(), на якому працює більшість швидких скриптів. Math.random() швидкий, але передбачуваний, і його ніколи не можна використовувати для секретів; криптографічне джерело спроєктоване так, щоб бути непередбачуваним навіть для зловмисника, який бачить попередній вивід. До того ж інструмент уникає тонкої статистичної вади, званої зсувом за модулем. Якщо ви наївно візьмете сире 16-бітове число й зведете його за допомогою value % poolSize, нижчі символи в пулі стають зовсім трохи ймовірнішими щоразу, коли розмір пулу не ділиться націло на 65536. Щоб цьому запобігти, генератор застосовує вибірку з відкиданням: він відкидає невеликий непридатний хвіст діапазону й лишає тільки ті значення, що ідеально рівномірно відображаються на пул символів, тож кожен символ рівно настільки ж імовірний, як і будь-який інший. Він також гарантує щонайменше один символ із кожного увімкненого вами набору, а тоді виконує криптографічне перемішування Фішера — Єйтса, щоб ці гарантовані символи не стояли передбачувано на початку.

Сила походить від ентропії, вимірюваної в бітах, а ентропія — це просто довжина, помножена на логарифм за основою 2 від розміру пулу. Об’єднаний пул тут — це 26 малих + 26 великих + 10 цифр + 25 символів = 87 можливих символів, що становить близько 6.4 біта на символ.

• Лише цифри (пул 10) — близько 3.3 біта на символ; годиться для одноразового коду, але слабко для облікового запису.
• Малі літери + цифри (пул 36) — близько 5.2 біта на символ.
• Усі чотири набори (пул 87) — близько 6.4 біта на символ, тож 16-символьний пароль несе приблизно 103 біти ентропії, а 20-символьний переступає 128 бітів.

Практичні поради та підводні камені

Довжина перемагає хитрість: довгий пароль із меншого алфавіту майже завжди кращий за короткий, напханий символами, і його набагато легше зберігати. Вмикайте «виключити неоднозначні» лише тоді, коли людина читатиме пароль уголос або набиратиме його вручну, — це трохи звужує пул, тож додайте пару символів для компенсації. Деякі сайти мовчки відхиляють певні символи або обмежують довжину; якщо пароль не приймається, приберіть набір символів чи скоротіть його, а не вважайте, що інструмент дав збій. Ніколи не використовуйте один пароль повторно на різних сайтах — генеруйте унікальний щоразу й тримайте його в менеджері паролів, адже весь сенс 100-бітового секрету зникає тієї миті, коли він спільний для кількох облікових записів. Надійний пароль захищає вхід; якщо ви також хочете, щоб саме з’єднання лишалося приватним, для цього й існує s4m VPN.

Ваші паролі ніколи не залишають цю сторінку

Кожен пароль генерується на вашому власному пристрої локальним JavaScript. Ніщо з того, що ви налаштовуєте, і ніщо зі створеного не надсилається до s4m, нікуди не завантажується й не записується в жоден журнал — жодного мережевого запиту тут узагалі немає. Це важливо тут більше, ніж майже для будь-якого іншого інструмента: генератор паролів, який передавав би свій вивід, був би марним, адже секрет виявився б розкритим ще до того, як ви ним скористалися. Ви можете переконатися в цьому самі, відкривши вкладку мережі у своєму браузері під час натискання «Згенерувати», або цілком відключившись від інтернету — генератор працюватиме далі, бо йому завжди потрібне було лише власне джерело випадковості вашого браузера.