Генератор надійних випадкових паролів

Як користуватися

1. Встановіть потрібну довжину повзунком (рекомендовано 16+).
2. Позначте типи символів, які хочете використати — що більше типів, то надійніший пароль.
3. За потреби виключіть схожі символи, якщо будете вводити пароль вручну.
4. Натисніть "Створити пароль" (новий також з'являється щоразу, коли ви змінюєте опцію).
5. Натисніть "Копіювати" і збережіть пароль у менеджері паролів.

Приклад

Введення

Довжина: 16, увімкнено всі типи символів

Результат

K7#mQv9!xR2pWz@e

Близько 105 біт ентропії — сучасному кластеру GPU знадобиться більше часу, ніж вік всесвіту, щоб підібрати такий пароль перебором.

Що це за інструмент?

Генератор паролів створює випадкові паролі, які значно надійніші за будь-що, вигадане людиною. Люди обирають запам'ятовувані шаблони — імена, дати, послідовності клавіш — і зловмисники знають кожен із цих шаблонів. Випадковий 16-символьний пароль із повного набору символів має близько 100 біт ентропії, що перевищує можливості будь-якої реалістичної атаки повним перебором.

Цей генератор використовує Web Crypto API (те саме джерело безпечної випадковості, яке ваша операційна система використовує для ключів шифрування), гарантує принаймні один символ із кожного обраного набору та показує оцінку стійкості на основі ентропії, щоб ви бачили вплив кожної опції.

Рекомендації NIST щодо паролів SP 800-63B підтверджують цей підхід: вони радять підтримувати довгі паролі (щонайменше до 64 символів), перевіряти кандидатів за списками відомих витоків і відмовитися від обов'язкових правил складу символів та планового скидання — адже саме довжина й випадковість, а не обов'язкові символи, визначають реальну стійкість.

Практичні поради

• Довжина важливіша за винахідливість: 20-символьний пароль лише з малих літер і цифр надійніший за 10-символьний із кожним можливим символом — переконайтеся в цьому самі, спостерігаючи за індикатором ентропії при русі повзунка.
• Деякі сайти обмежують довжину або забороняють символи (банки цим особливо славляться). Підлаштовуйтеся під їхні правила чекбоксами, а не редагуйте пароль вручну — ручні правки концентрують передбачуваність саме там, де ви їх додали.
• Створюйте новий пароль для кожного сайту. Стійкість будь-якого пароля втрачає сенс, щойно його повторно використали на сайті, який зламали.
• Для пароля, який доведеться запам'ятати (вхід у ноутбук, майстер-пароль менеджера паролів), довжина 20+ без символів часто зручніша для набору й не менш надійна.

Наскільки надійно "надійно"? Порівняння

Конкретні цифри для наочності: 8 змішаних символів (~52 біти) піддаються сучасній установці GPU за години, якщо витік хешу з сайту стався. 12 символів (~78 біт) тримаються роки. 16 символів (~105 біт) переживуть обладнання, яке б їх атакувало. Онлайн-підбір набагато повільніший за ці офлайн-показники — обмеження частоти запитів стримують зловмисників на рівні тисяч спроб, а не трильйонів — але ви не контролюєте, який саме витік станеться, тому варто розраховувати на офлайн-сценарій.

Саме тому менеджери паролів змінили правила гри: коли нічого не потрібно запам'ятовувати, кожен пароль може складатися з 16+ випадкових символів, і один витік перестає загрожувати іншим вашим акаунтам.

→ Генератор випадкових чисел · Генератор MD5

Зв'язок довжини та ентропії

Таблиця показує, наскільки сильніше довжина впливає на час, потрібний для підбору пароля, порівняно з простим додаванням нових типів символів — довжина майже завжди є кращим вибором.

Типові сценарії використання

• Реєстрація нового акаунта на сайті з конкретною політикою паролів (мінімальна довжина, обов'язкові символи) — краще одразу задати відповідні опції тут, ніж вручну підлаштовувати вже готовий пароль.
• Генерація партії унікальних паролів під час одночасного налаштування кількох акаунтів або тестових користувачів.
• Заміна повторно використаного пароля після сповіщення про витік — по одному унікальному паролю на кожен постраждалий акаунт.
• Створення пароля для Wi-Fi роутера чи спільного пристрою, який надійний, але не містить схожих символів для тих, хто вводитиме його з надрукованої картки.

Навіщо його використовувати?

Ви створюєте обліковий запис, прив'язаний до Дії, і сервіс вимагає щонайменше 20 символів — пересуньте повзунок на 20 і одразу увімкніть усі типи символів.

Ви налаштовуєте десяток тестових користувачів у середовищі розробки і не хочете вигадувати паролі самостійно — генеруйте кожен окремо з криптографічно безпечною випадковістю, якої Math.random() ніколи не гарантує.

Банківський сервіс не дозволяє спецсимволи, але вимагає щонайменше 12 символів — вимкніть символи в чекбоксах і компенсуйте довжиною без втрати стійкості.

Ви записуєте пароль від Wi-Fi вручну на аркуші для гостей — увімкніть "виключити схожі символи", щоб ніхто не переплутав 0 і O.

Ви змінюєте пароль після сповіщення про витік даних і не хочете повторно використовувати той самий пароль на іншому акаунті — згенеруйте тут окремий одноразовий пароль для кожного сервісу.

Часті запитання