Генератор надёжных паролей

Что делает пароль надёжным

Стойкость пароля определяется числом вариантов, которые придётся перебрать атакующему. Для случайного пароля длины L из набора N символов это N^L вариантов, а энтропия — двоичный логарифм этого числа:

H = L · log₂ N бит

Каждый добавленный символ увеличивает число вариантов в N раз, поэтому длина важнее экзотических символов. Пароль из 16 символов только из строчных букв (75 бит) надёжнее, чем пароль из 10 символов со всеми видами символов (65 бит).

Сколько бит достаточно

• Меньше 40 бит — подбирается за минуты или часы при утечке базы.
• 60–70 бит — достаточно для большинства сайтов с медленным хешированием паролей.
• 80 бит и больше — надёжно даже против перебора на кластерах видеокарт.
• 128 бит — уровень криптографических ключей, перебор физически невозможен.

Как генерируются пароли

Пароли создаются функцией crypto.getRandomValues браузера — криптографически стойким генератором случайных чисел операционной системы. Символы выбираются без статистического перекоса: случайные числа, которые привели бы к неравномерному распределению, отбрасываются. Если включено требование «хотя бы один символ каждого вида», пароли без нужных символов генерируются заново, а не исправляются вручную, — так распределение остаётся равномерным. Пароли существуют только на этой странице и не передаются на сервер.

Советы

• Используйте разный пароль для каждого сайта: утечка одного не должна открывать остальные.
• Храните пароли в менеджере паролей — тогда помнить нужно только один мастер-пароль.
• Включайте двухфакторную аутентификацию: даже украденный пароль не даст доступа без второго фактора.
• Для мастер-пароля, который нужно помнить, удобна фраза из 5–6 случайных слов — она длинная и запоминается легче набора символов.