Генератор паролів: повний гід з безпечної онлайн-генерації

Люди фундаментально нездатні генерувати дійсно випадкові паролі. Десятиліття досліджень у когнітивній психології підтверджують: коли люди намагаються створити "випадкові" рядки, вони повертаються до шаблонів: знайомі послідовності літер, клавіатурні сусідства, особисті асоціації та культурні упередження. Дослідження 2019 року в Кембриджському університеті показало, що паролі, "випадково" створені людьми, мали на 30-50% менше ентропії.

Генератор паролів вирішує це, використовуючи криптографічно безпечний генератор псевдовипадкових чисел (CSPRNG) для незалежного та рівномірного вибору кожного символу з визначеного набору. Результат — пароль з максимальною ентропією для своєї довжини.

Різниця в безпеці вимірювана. Створений людиною 12-символьний пароль, що виглядає випадковим, може мати 40-60 бітів ефективної ентропії через несвідомі шаблони. Дійсно випадковий 12-символьний пароль має 79 бітів. Ця різниця — мільярди років додаткового часу злому.

Сучасні браузерні генератори паролів використовують Web Crypto API, зокрема функцію crypto.getRandomValues(), що надає доступ до CSPRNG операційної системи. На Linux це /dev/urandom (засіяний апаратним шумом). На Windows — BCryptGenRandom. На macOS — SecRandomCopyBytes.

Критична властивість CSPRNG — його вихід обчислювально невідрізнимий від справжньої випадковості. Навіть спостерігаючи мільйон попередніх виходів, неможливо передбачити наступний. Це принципово відрізняється від Math.random() JavaScript, який використовує детерміністичний алгоритм, НЕ придатний для безпеки.

Наш генератор на generatepasswordto.me працює повністю у вашому браузері. Жоден пароль ніколи не надсилається на сервер. Генерація відбувається локально через Web Crypto API. Ви можете перевірити це, відключившись від інтернету — або переглянувши відкритий код на GitHub.

Для паролів у менеджері паролів (які ви ніколи не набираєте): 20-24 символи з усіма чотирма класами символів (великі літери, малі літери, цифри, символи). Це забезпечує приблизно 131-157 бітів ентропії — далеко за межами будь-якої поточної або передбачуваної технології злому.

Для паролів, які потрібно іноді набирати (Wi-Fi, PIN пристроїв): 16 символів з усіма класами дає приблизно 105 бітів. Якщо система не приймає спеціальні символи, 20 символів з літерами та цифрами дають приблизно 119 бітів.

Для парольних фраз: мінімум 5 слів з великого списку (7 776+ слів) для приблизно 65 бітів. Для критичних парольних фраз (мастер-паролі) — 6-7 слів для 78-91 біта.

Багато генераторів вимагають створення акаунту. Це тривожний знак. По-перше, сам акаунт стає ціллю. По-друге, вимога реєстрації передбачає генерацію на стороні сервера, тобто ваші паролі подорожують мережею.

Генератор без реєстрації, як generatepasswordto.me, працює повністю на стороні клієнта. Ніякого акаунту, ніякої серверної комунікації, ніякого зберігання даних. Згенеровані паролі існують лише в пам'яті браузера до копіювання. Закриття вкладки стирає їх назавжди.

Як перевірити, що генератор дійсно клієнтський: відкрийте інструменти розробника (F12), вкладку Network, згенеруйте пароль і переконайтесь, що HTTP-запитів не було. Якщо генератор робить API-виклики під час генерації — ваш пароль може бути розкритий.

Додатково: уникайте генераторів з рекламою; віддавайте перевагу відкритому коду; переконайтесь у використанні HTTPS.

NIST 800-63B не вказує, як паролі повинні генеруватися, але наголос на довжині, випадковості та перевірці витоків ідеально узгоджується з генераторами. Генератор, що створює 16+ символьні випадкові паролі, задовольняє наміри NIST для надійних секретів.

PCI DSS v4.0 вимагає паролів щонайменше 12 символів з буквами та цифрами. Стандартні налаштування нашого генератора перевищують ці вимоги.

Для розробників: використовуйте серверні CSPRNG-функції: secrets Python, crypto.randomBytes() Node.js, SecureRandom Java або RandomNumberGenerator .NET. Ніколи не використовуйте загальні функції випадковості (random(), Math.random()) для безпеки.

Генерація пароля і потім його модифікація. Користувачі іноді генерують випадковий пароль, потім змінюють кілька символів. Це драматично знижує ентропію. Якщо потрібен запам'ятовуваний пароль, використовуйте режим парольних фраз.

Використання одного згенерованого пароля для кількох акаунтів. Сенс генератора — створювати унікальні паролі без зусиль. Генеруйте новий пароль для кожного акаунту.

Зберігання згенерованих паролів у відкритому тексті. Після генерації не вставляйте пароль у текстовий файл або стікер. Копіюйте безпосередньо в менеджер паролів.

Ігнорування обмежень символів. Деякі сервіси не приймають певні спеціальні символи. Перегенеруйте з відповідними обмеженнями, а не видаляйте символи вручну.

Крок 1: Перейдіть на generatepasswordto.me. Ніякої реєстрації чи особистої інформації.

Крок 2: Налаштуйте параметри. Для більшості акаунтів: довжина 20 символів, всі класи символів увімкнені.

Крок 3: Натисніть Генерувати. Пароль створюється вашим браузерним CSPRNG. Жодні дані не надсилаються на сервер.

Крок 4: Перевірте надійність вбудованим метром на основі бібліотеки zxcvbn.

Крок 5: Використайте функцію перевірки на витоки через Have I Been Pwned API (k-анонімність — лише перші 5 символів хешу).

Крок 6: Скопіюйте пароль безпосередньо в менеджер паролів.