Генератор паролей

Главный вопрос к любому генератору паролей

Он звучит так: а где именно собирается пароль. Если на сервере, то к моменту, когда вы его увидели, он уже побывал у кого-то еще и проехал через сеть.

Проверить это можно самому и за минуту. Откройте в браузере вкладку сетевых запросов и нажмите кнопку. У нас наружу не уйдет ни одного запроса, потому что уходить нечему: пароль собирает сам браузер.

Одна оговорка, чтобы не вводить в заблуждение. При открытии страницы срабатывает счетчик посещаемости, как на любом сайте. Он считает визит и не знает ни о каком пароле: к моменту, когда вы нажмете кнопку, он уже отработал и больше не обращается никуда. Именно поэтому проверять надо момент нажатия, а не момент открытия.

Это не особая заслуга, а нормальное устройство такого инструмента. Удивляться стоит обратному.

Откуда берется случайность

Второй вопрос, который редко задают. Обычная функция случайных чисел в браузере быстрая, но предсказуемая: по нескольким выданным значениям восстанавливается ее внутреннее состояние, а вместе с ним и все следующие значения.

Для игры этого достаточно, для пароля нет. Инструмент берет источник случайности, встроенный в браузер для криптографии, тот же самый, из которого берутся ключи защищенного соединения.

Есть и третья тонкость, о которой почти никто не пишет. Если взять случайное число и поделить с остатком на размер набора знаков, первые знаки набора будут выпадать чаще остальных. Перекос небольшой, но он есть, и он уменьшает стойкость. Значения из хвоста диапазона у нас отбрасываются и берутся заново, поэтому все знаки равновероятны.

Какая длина нужна на самом деле

Стойкость считается в битах: это длина, умноженная на двоичный логарифм размера набора знаков. Инструмент показывает оценку под полем.

• 8 знаков из букв и цифр это около 48 бит. Сегодня это мало.
• 12 знаков со всеми наборами это около 78 бит. Разумный минимум для почты и личных кабинетов.
• 16 знаков это около 104 бит. Хороший выбор по умолчанию.
• 24 знака и больше нужны для того, что защищает все остальное: пароль от менеджера паролей, ключ от резервной копии.

Длина важнее набора знаков. Пароль из шестнадцати строчных букв стойче, чем из восьми со всеми знаками препинания, и запомнить его проще. Если пароль придется набирать руками, длина выгоднее сложности.

Что делать с паролем дальше

• Положите в менеджер паролей. Стойкий пароль, записанный в заметки на телефоне, защищает ровно до первого доступа к телефону.
• Не используйте один пароль дважды. Утечка на одном сайте открывает все остальные, и утечки случаются постоянно.
• Не меняйте пароль по расписанию без причины. Люди отвечают на это приписыванием единицы в конец, и пароль становится хуже.
• Включите второй фактор там, где он есть. Он важнее длины пароля.

Чего этот инструмент не делает

• Не хранит выданные пароли. Нигде. Обновите страницу, и пароля не станет.
• Не проверяет ваш существующий пароль. Вводить действующий пароль на чужом сайте не нужно никогда, даже на нашем.
• Не делает пароль из слов. Парольные фразы это отдельная задача со своими правилами.
• Не заменяет менеджер паролей. Он нужен, и он важнее генератора.

Частые вопросы

Другие инструменты

• Генератор QR-кодов - собрать QR-код для ссылки или текста, в картинке или в векторе
• Генератор штрих-кодов - собрать штрих-код EAN-13, EAN-8 или Code 128
• Сканировать QR-код - прочитать код со снимка и показать, что внутри
• Проверка текста на ИИ - измеримые признаки без вердикта
• Счетчик слов и символов - слова, символы и время чтения
• Чистка расшифровки - убрать паразиты, повторы, лишние пробелы
• Хронометраж текста - время чтения и озвучки
• Убрать лишние пробелы и переносы - привести текст в порядок

Все инструменты на одной странице