Генератор паролей и токенов
Пароли, парольные фразы и токены API, сгенерированные из криптографического источника случайности вашего браузера — crypto.getRandomValues, никогда Math.random, — и существующие только в этой вкладке. Единственное место, где пароль никогда не должен генерироваться, — внутри ИИ-чата с журналированием, где «случайная» строка — это предсказанный текст, а разговор сохраняет копию. Здесь случайность настоящая, а копия — только ваша.
Пароль
Парольная фраза
Токен API
Проверка силы
Случайность — это механизм, а не настроение
Каждый секрет на этой странице происходит из crypto.getRandomValues, интерфейса браузера к пулу энтропии операционной системы, — того же источника, что использует ваш менеджер паролей. Выбор делается отбраковочной выборкой, поэтому каждый символ и каждое слово равновероятны; наивный остаток от случайного байта тихо благоволит некоторым символам, а в генераторе паролей тихий перекос — настоящий дефект. Math.random не встречается нигде: это быстрый, предсказуемый генератор, построенный для анимаций, и его будущий вывод можно реконструировать из его прошлого вывода. Цифры энтропии, напечатанные рядом с каждым результатом, вычислены из реальных пулов — пароль из 20 символов из всех четырёх наборов это 20 × log₂(95) ≈ 131 бит; фраза из пяти слов из списка в 560 слов это 5 × log₂(560) ≈ 45 бит, — так что вы можете честно сравнивать формы, а не судить по тому, как сложно они выглядят. И операционное правило, мотивирующее всю страницу, заслуживает повторения: пароль, сгенерированный в окне чата, — это пароль, сохранённый в истории этого чата, на чужой инфраструктуре, под учётной записью, которую могут взломать. Главная статья, никогда не поручайте чат-боту свои секреты, приводит полный довод; определитель хешей — спутник на тот день, когда вы встретите один из своих старых паролей в форме дайджеста. Примечание: список слов для фраз остаётся английским (это данные самой фразы).
Частые вопросы
Почему бы просто не попросить пароль у чат-бота?
Три причины, каждая достаточна сама по себе. «Случайный» пароль чат-бота — это предсказанный текст, а не выборочная случайность: у моделей есть измеримые любимые паттерны, а пароль, чью форму атакующий может предсказать, — это наполовину угаданный пароль. Чат записывается в журнал: пароль, который вам только что вручили, существует в истории разговора на серверах третьей стороны, прикреплённый к вашей учётной записи. И модель не может использовать настоящий источник случайности — за ответом чата нет crypto.getRandomValues. Этот генератор напрямую сэмплирует криптографический источник случайности браузера, и результат существует только в этой вкладке. Полный довод — в никогда не поручайте чат-боту свои секреты.
Пароль или парольная фраза — что использовать?
И то и другое, для разных рук. Учётные данные, хранимые машинами (записи менеджера паролей, токены API), должны быть паролями или токенами: максимальная энтропия на символ, никогда не вводятся человеком. Всё, что человек должен вводить или запоминать, — мастер-пароль самого менеджера паролей прежде всего, — должно быть парольной фразой: пять слов из списка в 560 слов несут около 45 бит и действительно могут запомниться, тогда как «умный» пароль из 10 символов, который она заменяет, обычно несёт меньше и забывается к пятнице.
Что на самом деле значит число энтропии?
Число вопросов «да/нет», на которые атакующему нужно ответить, в среднем половину от 2^бит попыток, чтобы взломать секрет перебором, — при условии, что он точно знает, как секрет был сгенерирован, а честные оценки всегда это предполагают. 40 бит падает перед мотивированным атакующим с арендованными GPU; 65 бит вне практической досягаемости массовых атак; 100+ бит вне досягаемости, и точка, для всего, кроме взлома самой математики. Цифра генератора точна для его собственного вывода, потому что пул и длина известны; цифра проверки силы помечена как оценка, потому что настоящий пул введённого пароля — это предположение.
Можно ли доверять вердикту проверки силы?
Как полу, а не как обещанию. Она моделирует пул, подразумеваемый вашими символами, а затем взимает плату за паттерны, которые словари взлома эксплуатируют первыми, — повторы, последовательности алфавита и клавиатуры, годы и, без обиняков, самые распространённые пароли интернета. Чего она не видит — так это смысла: имя питомца плюс день рождения — «сносно» по математике и бесполезно против любого, кто вас знает. Обращайтесь с хорошим вердиктом как с необходимым, а не достаточным, — и предпочитайте сгенерированный секрет оценённому всякий раз, когда машина может его хранить.
Хранятся ли сгенерированные пароли или куда-то отправляются?
Нет. Генерация происходит в этой странице, из crypto.getRandomValues, и результаты живут в памяти вкладки, пока вы её не закроете. Нет учётной записи, нет синхронизации, нет события аналитики, несущего ваш вывод. Следствие на вашей стороне: сгенерированный пароль, который вы не сохраните немедленно в менеджер паролей, исчезнет, когда вкладка закроется, — что является правильным режимом отказа, но планируйте это.