Generatore di password e segreti

Informazioni su questo strumento

Come vengono creati i segreti

Ogni carattere, parola e byte proviene da crypto.getRandomValues, il generatore di numeri casuali crittografico del browser. Math.random non viene usato da nessuna parte, perché non è stato progettato per i segreti e il suo output si può prevedere.

Scegliere da un insieme richiede attenzione. La scorciatoia comune di prendere un byte casuale modulo la dimensione dell'insieme rende alcuni caratteri leggermente più probabili di altri tutte le volte che 256 non è un multiplo esatto della dimensione dell'insieme. Questo strumento usa invece il rejection sampling: tiene solo i bit casuali che servono per l'insieme, e un valore che cade fuori dall'insieme viene scartato ed estratto di nuovo. La regola di almeno un carattere per tipo è applicata allo stesso modo. Una password a cui manca un tipo viene scartata per intero, così tutte le password che rispettano la regola hanno la stessa probabilità.

I segreti esistono solo in questa pagina. Non vengono inviati da nessuna parte né salvati nel browser, e spariscono quando ne generi di nuovi o chiudi la scheda.

Che cosa indica il valore dell'entropia

L'entropia in bit è il logaritmo in base 2 del numero di risultati equiprobabili, quindi ogni bit in più raddoppia il lavoro necessario per indovinare. Il valore è calcolato sulle opzioni effettivamente in uso e arrotondato per difetto al bit intero. Con tutti e quattro i tipi di carattere l'insieme ha 87 caratteri, e una lunghezza di 20 dà 128 bit. Evitare i caratteri ambigui riduce l'insieme a 82 e la stessa lunghezza dà 126 bit. La lista delle passphrase ha 1.024 parole, cioè esattamente 10 bit per parola: cinque parole sono 50 bit, otto sono 80. Un token vale 8 bit per byte, quindi 32 byte sono 256 bit.

Il valore descrive il generatore, non l'aspetto del risultato. Vale perché la scelta è stata casuale. Una password inventata da una persona di solito ha molta meno entropia di quanto suggerisca la sua lunghezza. Una password forte riusata su due siti è esposta su entrambi non appena uno dei due la fa trapelare.

Quale tipo scegliere

Usa i caratteri casuali per tutto ciò che un password manager memorizzerà e digiterà al posto tuo. Usa una passphrase per i pochi segreti che devi ricordare o digitare a mano, come la password del password manager stesso o di un disco cifrato, e per renderla più robusta aggiungi parole, non trucchi. Usa un token per i segreti che legge solo il software: API key, segreti di sessione, chiavi di firma per HMAC o JWT. L'hex usa solo cifre e le lettere dalla a alla f. Base64url rappresenta gli stessi byte con meno caratteri, e nessuno dei suoi caratteri va codificato in un URL.

L'opzione per i caratteri ambigui aiuta quando una password viene letta ad alta voce o copiata da un foglio. L'insieme dei simboli esclude virgolette, backslash, backtick, parentesi angolari e lo spazio, che tendono a rompere i comandi della shell e i file di configurazione. Simboli come $, & e ! restano, quindi metti la password tra apici singoli quando la passi su una riga di comando.