Jelszógenerátor
Hozzon létre véletlenszerű jelszót vagy könnyen megjegyezhető jelmondatot. Minden az Ön böngészőjében készül a Web Crypto véletlenszám-generátorával; a jelszót az UltKit soha nem kapja meg, nem naplózza és nem tárolja. A mérő bitben mutatja a beállításai szerinti valódi entrópiát.
94 szimbólumos készlet × 20 · Átlagos kitalálási idő másodpercenként 10 milliárd próbálkozással: 4,6 × 10²¹ év
A jelszavakat a böngészője generálja a crypto.getRandomValues segítségével. Semmit nem küldünk el az UltKit felé, és sehol nem tárolunk.
Entrópia és feltörési idő
Offline támadás másodpercenként 10¹⁰ (10 milliárd) próbálkozással. Az átlagos idő a teljes keresési tér fele.
| Entrópia | Véletlen karakterek (94 szimbólumos készlet) | Szavak egy 7776 szavas listából | Átlagos feltörési idő |
|---|---|---|---|
| 28 | 5 | 3 | kevesebb mint 1 másodperc |
| 40 | 7 | 4 | 55 másodperc |
| 50 | 8 | 4 | 16 óra |
| 60 | 10 | 5 | 1,8 év |
| 72 | 11 | 6 | 7482 év |
| 80 | 13 | 7 | 1,9 M év |
| 100 | 16 | 8 | 2 B év |
| 128 | 20 | 10 | 5,4 × 10²⁰ év |
A hossz többet ér a bonyolultságnál: mit mond a NIST SP 800-63B
Az amerikai Nemzeti Szabványügyi és Technológiai Intézet (NIST) az SP 800-63B ajánlásban újraírta a jelszavakra vonatkozó irányelveit, majd a 2024-ben megjelent 4. változatban tovább szigorította azokat. Fő tanácsai szembemennek a régi vállalati szabályokkal: a szolgáltatásoknak el kell fogadniuk legalább 64 karakter hosszú jelszavakat, nem szabad kötelezővé tenniük a kis- és nagybetűk, számjegyek és szimbólumok keverését, nem szabad időszakos jelszócserére kényszeríteni a felhasználókat, ehelyett az új jelszavakat ellenőrizniük kell a kiszivárgott és a gyakori jelszavak listáival szemben.
Az indoklás számtani. Az összetételi szabályok kiszámítható mintákba terelik az embereket, például „Nyar2024!”, és a támadók ezeket próbálják ki elsőként. Minden további véletlen karakter viszont a karakterkészlet méretével szorozza meg a nyers erővel történő támadás munkáját. Ha a 94 nyomtatható ASCII karakterből 12 helyett 16 véletlen karaktert használ, az körülbelül 26 bitet ad hozzá, vagyis nagyjából 78 millió alkalommal nehezebb kitalálni a jelszót.
Hogyan számoljuk ki az entrópiát?
Az entrópia azt méri, hogy a generátor hány egyformán valószínű jelszót állíthatott elő. Véletlen jelszónál ez a hossz × log2(készletméret). Mind a négy karakterkészlettel a készlet 94 szimbólumot tartalmaz, ami karakterenként körülbelül 6,55 bitet ér, így 16 karakter körülbelül 105 bitet ad. A könnyen összetéveszthető karakterek kizárása 84-re csökkenti a készletet, ami karakterenként egy bit kevesebb mint ötödébe kerül. A fenti táblázat ugyanezt a számítást használja, és olyan offline támadót feltételez, aki másodpercenként 10 milliárd tippet ad le; ez reális érték egy GPU-s gépnél gyors hash ellen, míg egy lassú hash, például a bcrypt, ezt a sebességet nagyságrendekkel csökkenti.
A jelmondatok ugyanígy működnek, csak karakterek helyett szavakkal. A beépített lista 367 rövid, gyakori szót tartalmaz, így minden szó körülbelül 8,5 bitet ad, hat szó pedig körülbelül 51 bitet: könnyű begépelni és megjegyezni, de gyengébb, mint egy 16 karakteres véletlen jelszó. Ha elválasztónak a „véletlen számjegyet” választja, az szóközönként körülbelül 3,3 bitet ad hozzá. Fontos dolgot védő jelszómondathoz használjon nyolc szót, vagy egy 7776 szavas Diceware-listát, ahol minden szó 12,9 bitet ér.
A mérő 40 bit alatt gyengének, 40 és 59 között közepesnek, 60 és 79 között erősnek, 80 vagy afelett nagyon erősnek jelöli a jelszót. A generátor beállításait értékeli, nem a konkrét karakterláncot, és ez az egyetlen tisztességes módja a jelszavak pontozásának: a „correct horse battery staple” magas pontot kap a mintaalapú ellenőrzőknél, pedig ez az első mondat, amit bármely támadó kipróbál.
A generált jelszó biztonságos használata
Minden fiókhoz használjon különböző jelszót, és bízza a megjegyzésüket egy jelszókezelőre; a jelszó újrahasználata miatt lesz egyetlen kiszivárgott oldalból sok eltérített fiók. A jelszót mentse el a kezelőben, még mielőtt elküldi a regisztrációs űrlapot, és kapcsolja be a kétlépcsős azonosítást, ahol csak lehet. Ha nem fiókot, hanem dokumentumot szeretne zárolni, egy erős jelmondat jól működik a PDF jelszóvédelem eszközzel, amely az Ön által választott jelszóval titkosítja a fájlt.
Gyakori kérdések
- Biztonságos online jelszógenerátort használni?
- Biztonságos, ha a jelszó sosem hagyja el az eszközét. Ez a generátor teljes egészében a böngészőjében fut, a crypto.getRandomValues kriptográfiailag biztonságos véletlenforrást használva; generáláskor, másoláskor és a beállítások módosításakor nem indul hálózati kérés, ezt a böngésző hálózati paneljén ellenőrizheti.
- Milyen hosszú legyen egy jelszó 2026-ban?
- Jelszókezelőben tárolt véletlen jelszóhoz legalább 16 karakter, mind a négy karakterkészletből, ami több mint 100 bit entrópiát ad. A NIST előírja, hogy a szolgáltatások fogadjanak el legalább 64 karaktert, így a hossz ritkán szab korlátot.
- Miért zárhatom ki az összetéveszthető karaktereket, például a 0, O, l és 1 jelet?
- Hogy a felolvasandó vagy papírról begépelendő jelszót ne üssék el. Ez 94-ről 84 szimbólumra szűkíti a készletet, amit pár további karakter bőven kompenzál.
- Jobb a jelmondat, mint egy véletlenszerű jelszó?
- A jelmondatot könnyebb megjegyezni és begépelni, ezért jó főjelszónak vagy eszközbejelentkezéshez. Karakterenként kevesebb entrópiát hordoz, ezért több szó kell hozzá: használjon legalább hatot egy nagy listából, vagy nyolcat az oldalba épített rövid listából.
- Megjegyzi a generátor az általa létrehozott jelszavakat?
- Nem. A jelszavak csak az oldalon léteznek, amíg újakat nem generál vagy be nem zárja a lapot. Semmi sem kerül sütikbe, helyi tárolóba vagy szerverre.