Passordgenerator
Lag et tilfeldig passord eller en passfrase som er lett å huske. Alt genereres i nettleseren din med tilfeldighetsgeneratoren i Web Crypto. Passordet sendes aldri til UltKit, logges aldri og lagres aldri. Måleren viser den faktiske entropien for innstillingene dine i bit.
Utvalg på 94 symboler × 20 · Gjennomsnittlig tid for å gjette ved 10 milliarder gjetninger per sekund: 4,6 × 10²¹ år
Passord genereres i nettleseren din med crypto.getRandomValues. Ingenting sendes til UltKit eller lagres noe sted.
Entropi og tid for å knekke
Offline-angrep med 10¹⁰ (10 milliarder) gjetninger per sekund. Gjennomsnittstiden er halvparten av hele søkerommet.
| Entropi | Tilfeldige tegn (utvalg på 94 symboler) | Ord fra en liste på 7 776 ord | Gjennomsnittlig tid for å knekke |
|---|---|---|---|
| 28 | 5 | 3 | under 1 sekund |
| 40 | 7 | 4 | 55 sekunder |
| 50 | 8 | 4 | 16 timer |
| 60 | 10 | 5 | 1,8 år |
| 72 | 11 | 6 | 7 482 år |
| 80 | 13 | 7 | 1,9 mill. år |
| 100 | 16 | 8 | 2 bill. år |
| 128 | 20 | 10 | 5,4 × 10²⁰ år |
Lengde slår kompleksitet: dette sier NIST SP 800-63B
Det amerikanske standardiseringsinstituttet NIST (National Institute of Standards and Technology) skrev om retningslinjene sine for passord i SP 800-63B og strammet dem inn igjen i revisjon 4, publisert i 2024. Kjernen i rådene går på tvers av gamle bedriftsregler: tjenester bør godta passord på minst 64 tegn, bør ikke kreve en blanding av store bokstaver, sifre og symboler, bør ikke tvinge folk til å bytte passord etter en fast tidsplan, og bør i stedet sjekke nye passord mot lister over lekkede og vanlige passord.
Begrunnelsen er ren aritmetikk. Regler for sammensetning presser folk inn i forutsigbare mønstre som «Summer2024!», som angripere prøver først. Hvert ekstra tilfeldige tegn multipliserer derimot arbeidet i et brute force-angrep med størrelsen på tegnmengden. Å gå fra 12 til 16 tilfeldige tegn fra de 94 skrivbare ASCII-symbolene gir omtrent 26 ekstra bits, noe som gjør gjetting omtrent 78 millioner ganger vanskeligere.
Slik beregnes entropien
Entropi måler hvor mange like sannsynlige passord generatoren kunne ha laget. For et tilfeldig passord er den lengde × log2(størrelsen på tegnmengden). Med alle fire tegnsettene er mengden 94 symboler, som gir omtrent 6,55 bits per tegn, så 16 tegn gir omtrent 105 bits. Hvis man utelater tegn som ligner hverandre, krymper mengden til 84, og det koster litt under en femtedels bit per tegn. Tabellen ovenfor bruker samme regnestykke og forutsetter en frakoblet angriper som gjør 10 milliarder gjetninger i sekundet, et rimelig tall for et GPU-oppsett mot en rask hash. En treg hash som bcrypt reduserer farten med flere størrelsesordener.
Passfraser fungerer på samme måte, bare med ord i stedet for tegn. Den innebygde listen her har 367 korte, vanlige ord, så hvert ord gir omtrent 8,5 bits og seks ord gir omtrent 51 bits: lett å skrive og huske, men svakere enn et tilfeldig passord på 16 tegn. Hvis du velger «tilfeldig siffer» som skilletegn, legger du til omtrent 3,3 bits per mellomrom. For en passfrase som beskytter noe viktig bør du bruke åtte ord, eller en Diceware-liste med 7 776 ord der hvert ord er verdt 12,9 bits.
Måleren kaller alt under 40 bits svakt, 40 til 59 middels, 60 til 79 sterkt og 80 eller mer svært sterkt. Den vurderer generatorinnstillingene, ikke selve strengen, og det er den eneste ærlige måten å vurdere et passord på: «correct horse battery staple» får høy score hos mønsterbaserte kontroller, men er den første frasen enhver angriper prøver.
Slik bruker du et generert passord trygt
Bruk et eget passord for hver konto og la en passordbehandler huske dem. Gjenbruk er det som gjør én lekket nettside til mange kaprede kontoer. Lagre passordet i behandleren før du sender inn registreringsskjemaet, og slå på tofaktorautentisering overalt hvor det tilbys. Skal du låse et dokument i stedet for en konto, fungerer en sterk passfrase godt sammen med Passordbeskytt PDF, som krypterer filen med et passord du velger.
Ofte stilte spørsmål
- Er det trygt å bruke en passordgenerator på nett?
- Det er trygt så lenge passordet aldri forlater enheten din. Generatoren kjører helt i nettleseren din og bruker crypto.getRandomValues, en kryptografisk sikker tilfeldighetskilde. Det sendes ingen forespørsel når du genererer, kopierer eller endrer innstillinger, og det kan du bekrefte i nettverkspanelet i nettleseren.
- Hvor langt bør et passord være i 2026?
- For et tilfeldig passord som lagres i en passordbehandler: 16 tegn eller mer fra alle fire tegnsettene, som gir over 100 bits entropi. NIST krever at tjenester godtar minst 64 tegn, så lengde er sjelden begrensningen.
- Hvorfor kan jeg utelate tegn som er lette å forveksle, som 0, O, l og 1?
- Slik at et passord du må lese høyt eller skrive av fra papir, ikke blir skrevet feil. Det krymper tegnmengden fra 94 til 84 symboler, noe et par ekstra tegn mer enn veier opp for.
- Er en passfrase bedre enn et tilfeldig passord?
- En passfrase er lettere å huske og skrive, noe som passer for et hovedpassord eller en enhetspålogging. Per tegn har den mindre entropi, så den trenger flere ord: bruk minst seks fra en stor liste, eller åtte fra den korte listen som er innebygd på denne siden.
- Husker generatoren passordene den har laget?
- Nei. Passordene finnes bare på siden til du genererer nye eller lukker fanen. Ingenting skrives til informasjonskapsler, lokal lagring eller en server.