Generator silnych haseł

Jak to liczymy?

Generator ma dwa tryby:

• losowe znaki – każdy znak losujemy z wybranych zestawów: małych i wielkich liter, cyfr oraz znaków specjalnych. Hasło zawsze zawiera co najmniej jeden znak z każdego wybranego zestawu,
• hasło ze słów – losujemy wyrazy z listy 500 polskich słów bez znaków diakrytycznych i łączymy je wybranym separatorem.

Do losowania używamy funkcji crypto.getRandomValues, czyli kryptograficznego generatora liczb losowych wbudowanego w przeglądarkę. Losujemy bez przekłamań statystycznych – każdy znak i każde słowo ma takie samo prawdopodobieństwo.

Siłę hasła mierzymy w bitach entropii. Dla hasła losowego to długość × log₂(liczba możliwych znaków), a dla hasła ze słów – liczba słów × log₂(liczba słów na liście).

Przykład krok po kroku

Hasło o długości 16 znaków ze wszystkich zestawów (26 małych liter, 26 wielkich, 10 cyfr i 24 znaki specjalne – razem 86 znaków):

• entropia jednego znaku: log₂(86) ≈ 6,4 bita,
• entropia hasła: 16 × 6,4 ≈ 103 bity – hasło bardzo silne.

Hasło z 5 słów z listy 500 wyrazów:

• entropia jednego słowa: log₂(500) ≈ 9 bitów,
• entropia hasła: 5 × 9 ≈ 45 bitów – na granicy hasła słabego i średniego. Szóste słowo daje około 54 bity, a siódme – około 63, dlatego domyślnie losujemy 6 słów.

Jak ocenić siłę hasła?

Zasady bezpiecznych haseł

• Każde konto – inne hasło. Wyciek hasła z jednego serwisu nie zagrozi wtedy pozostałym.
• Długość ponad złożoność. Długie hasło ze słów bywa silniejsze niż krótkie hasło pełne znaków specjalnych.
• Włącz uwierzytelnianie dwuskładnikowe. Kod z aplikacji lub klucz sprzętowy chroni konto nawet po wycieku hasła.
• Korzystaj z menedżera haseł. Pozwala używać długich, losowych haseł bez ich zapamiętywania.
• Nie twórz haseł z danych osobowych. Imię, data urodzenia czy nazwa ulubionej drużyny są łatwe do odgadnięcia.

Hasło ze słów czy losowe znaki?

Losowe znaki dają najwięcej entropii na znak, dlatego sprawdzą się tam, gdzie hasło uzupełnia menedżer haseł. Hasło ze słów łatwiej zapamiętać i przepisać na telefonie – to dobry wybór na hasło główne menedżera, do logowania na komputerze czy do sieci Wi-Fi. Opcja „Bez podobnych znaków” usuwa znaki łatwe do pomylenia, takie jak 0 i O czy l i 1.

Gdzie przechowywać hasła?

Najbezpieczniejszym miejscem jest menedżer haseł – aplikacja, która szyfruje wszystkie hasła jednym hasłem głównym. Menedżery wbudowane w przeglądarkę i system telefonu są dobrym początkiem. Unikaj zapisywania haseł w notatkach, arkuszach i wiadomościach e-mail. Jeśli zapisujesz hasło na papierze, trzymaj kartkę w bezpiecznym miejscu w domu.

Ograniczenia narzędzia

Ocena siły hasła zakłada, że atakujący zna sposób generowania, ale nie zna wylosowanych znaków. Nie dotyczy haseł wymyślonych samodzielnie – te są zwykle znacznie słabsze, niż wskazywałaby ich długość. Wygenerowanego hasła nie zapisujemy, więc skopiuj je od razu.