Generator haseł
Utwórz losowe hasło lub łatwą do zapamiętania frazę hasłową. Wszystko powstaje w Twojej przeglądarce dzięki generatorowi liczb losowych Web Crypto. Hasło nigdy nie trafia do UltKit, nie jest rejestrowane ani przechowywane. Wskaźnik pokazuje rzeczywistą entropię wybranych ustawień w bitach.
Pula 94 symboli × 20 · Średni czas odgadnięcia przy 10 miliardach prób na sekundę: 4,6 × 10²¹ lat
Hasła są generowane w przeglądarce za pomocą crypto.getRandomValues. Nic nie jest wysyłane do UltKit ani nigdzie zapisywane.
Entropia i czas łamania
Atak offline z szybkością 10¹⁰ (10 miliardów) prób na sekundę. Średni czas to połowa całej przestrzeni możliwości.
| Entropia | Losowe znaki (pula 94 symboli) | Słowa z listy 7776 słów | Średni czas złamania |
|---|---|---|---|
| 28 | 5 | 3 | poniżej 1 sekundy |
| 40 | 7 | 4 | 55 s |
| 50 | 8 | 4 | 16 godz. |
| 60 | 10 | 5 | 1,8 lat |
| 72 | 11 | 6 | 7482 lat |
| 80 | 13 | 7 | 1,9 mln lat |
| 100 | 16 | 8 | 2 bln lat |
| 128 | 20 | 10 | 5,4 × 10²⁰ lat |
Długość ważniejsza niż złożoność: co mówi NIST SP 800-63B
Amerykański Narodowy Instytut Standardów i Technologii (NIST) przepisał swoje wytyczne dotyczące haseł w dokumencie SP 800-63B i jeszcze je zaostrzył w rewizji 4, opublikowanej w 2024 roku. Główne zalecenia idą wbrew dawnym regułom firmowym: serwisy powinny przyjmować hasła o długości co najmniej 64 znaków, nie powinny wymuszać mieszanki wielkich liter, cyfr i symboli, nie powinny zmuszać do zmiany haseł według harmonogramu, a zamiast tego powinny sprawdzać nowe hasła z listami haseł wyciekłych i powszechnie używanych.
Uzasadnienie jest czysto arytmetyczne. Reguły składu popychają ludzi ku przewidywalnym wzorcom, takim jak „Summer2024!”, które atakujący sprawdzają w pierwszej kolejności. Każdy dodatkowy losowy znak mnoży z kolei nakład pracy ataku brute force przez rozmiar puli znaków. Przejście z 12 na 16 losowych znaków z 94 drukowalnych symboli ASCII dodaje około 26 bitów, co utrudnia zgadywanie mniej więcej 78 milionów razy.
Jak obliczana jest entropia
Entropia mierzy, ile jednakowo prawdopodobnych haseł mógł wygenerować generator. Dla hasła losowego jest to długość × log2(rozmiar puli). Przy wszystkich czterech zestawach znaków pula to 94 symbole, czyli około 6,55 bita na znak, więc 16 znaków daje około 105 bitów. Wykluczenie podobnie wyglądających znaków zmniejsza pulę do 84 i kosztuje nieco mniej niż jedną piątą bita na znak. Tabela powyżej korzysta z tych samych obliczeń i zakłada atakującego działającego offline, który wykonuje 10 miliardów prób na sekundę, co jest realną wartością dla zestawu GPU atakującego szybką funkcję skrótu; wolna funkcja, taka jak bcrypt, obniża to tempo o kilka rzędów wielkości.
Hasła złożone z wyrazów działają tak samo, tylko ze słowami zamiast znaków. Wbudowana tutaj lista zawiera 367 krótkich, popularnych słów, więc każde słowo dodaje około 8,5 bita, a sześć słów daje około 51 bitów: hasło łatwe do wpisania i zapamiętania, ale słabsze niż losowe hasło 16-znakowe. Wybór „losowej cyfry” jako separatora dodaje około 3,3 bita na każdą przerwę. Dla hasła chroniącego coś ważnego użyj ośmiu słów albo listy Diceware z 7776 słowami, na której każde słowo jest warte 12,9 bita.
Miernik określa poniżej 40 bitów jako słabe, 40–59 jako średnie, 60–79 jako mocne, a 80 lub więcej jako bardzo mocne. Ocenia ustawienia generatora, a nie sam ciąg znaków, i jest to jedyny uczciwy sposób oceny hasła: „correct horse battery staple” dostaje wysoką ocenę w narzędziach opartych na wzorcach, ale to pierwsza fraza, jaką sprawdzi każdy atakujący.
Jak bezpiecznie korzystać z wygenerowanego hasła
Używaj innego hasła do każdego konta i pozwól menedżerowi haseł je zapamiętać; ponowne używanie haseł sprawia, że wyciek z jednej strony kończy się przejęciem wielu kont. Zapisz hasło w menedżerze, zanim wyślesz formularz rejestracji, i włącz uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne. Aby zablokować dokument, a nie konto, dobrze sprawdza się silne hasło z wyrazów razem z narzędziem Zabezpiecz PDF hasłem, które szyfruje plik wybranym przez Ciebie hasłem.
Najczęściej zadawane pytania
- Czy korzystanie z generatora haseł online jest bezpieczne?
- Jest bezpieczne, jeśli hasło nigdy nie opuszcza Twojego urządzenia. Ten generator działa w całości w przeglądarce i korzysta z crypto.getRandomValues, kryptograficznie bezpiecznego źródła losowości; podczas generowania, kopiowania ani zmiany ustawień nie jest wysyłane żadne żądanie, co możesz sprawdzić w panelu sieci przeglądarki.
- Jak długie powinno być hasło w 2026 roku?
- Dla losowego hasła przechowywanego w menedżerze haseł: 16 znaków lub więcej ze wszystkich czterech zestawów, co daje ponad 100 bitów entropii. NIST wymaga, by serwisy przyjmowały co najmniej 64 znaki, więc długość rzadko bywa ograniczeniem.
- Dlaczego mogę wykluczyć niejednoznaczne znaki, takie jak 0, O, l i 1?
- Aby hasło, które trzeba przeczytać na głos lub przepisać z kartki, nie zostało błędnie wpisane. Zmniejsza to pulę z 94 do 84 symboli, co z nadwyżką rekompensuje kilka dodatkowych znaków.
- Czy fraza hasłowa jest lepsza niż losowe hasło?
- Hasło z wyrazów łatwiej zapamiętać i wpisać, co pasuje do hasła głównego lub logowania do urządzenia. Na znak niesie mniej entropii, więc potrzebuje więcej słów: użyj co najmniej sześciu z dużej listy albo ośmiu z krótkiej listy wbudowanej w tę stronę.
- Czy generator zapamiętuje utworzone hasła?
- Nie. Hasła istnieją tylko na stronie, dopóki nie wygenerujesz nowych lub nie zamkniesz karty. Nic nie jest zapisywane w plikach cookie, pamięci lokalnej ani na serwerze.