Gerador de palavras-passe e segredos

Sobre esta ferramenta

Como os segredos são gerados

Cada carácter, palavra e byte vem de crypto.getRandomValues, o gerador de números aleatórios criptográfico do navegador. O Math.random não é usado em lado nenhum, porque não foi concebido para segredos e o seu resultado pode ser previsto.

Escolher de um conjunto exige cuidado. O atalho habitual de pegar num byte aleatório e calcular o resto da divisão pelo tamanho do conjunto torna alguns caracteres ligeiramente mais prováveis do que outros sempre que o tamanho do conjunto não divide 256 exatamente. Esta ferramenta usa antes amostragem por rejeição: aproveita apenas os bits aleatórios de que o conjunto precisa, e um valor que fique fora do conjunto é descartado e sorteado de novo. A regra de pelo menos um carácter de cada tipo é aplicada da mesma forma. Uma palavra-passe a que falte um dos tipos é descartada por inteiro, por isso todas as palavras-passe que cumprem a regra são igualmente prováveis.

Os segredos existem apenas nesta página. Não são enviados para lado nenhum nem guardados no navegador, e desaparecem quando volta a gerar ou fecha o separador.

O que significa o número da entropia

A entropia em bits é o logaritmo de base 2 do número de resultados igualmente prováveis, por isso cada bit a mais duplica o trabalho de adivinhar. O valor é calculado a partir das opções efetivamente em uso e arredondado por defeito a um bit inteiro. Com os quatro tipos de carácter, o conjunto tem 87 caracteres, e um comprimento de 20 dá 128 bits. Evitar caracteres parecidos reduz o conjunto a 82, e o mesmo comprimento dá 126. A lista das frases-passe tem 1024 palavras, ou seja, exatamente 10 bits por palavra: cinco palavras são 50 bits, oito são 80. Um token tem 8 bits por byte, por isso 32 bytes são 256 bits.

O número descreve o gerador, não o aspeto do resultado. Só é válido porque a escolha foi aleatória. Uma palavra-passe inventada por uma pessoa costuma ter muito menos entropia do que o seu comprimento sugere. E uma palavra-passe forte reutilizada em dois sites fica exposta em ambos assim que um deles a deixar escapar.

Que tipo escolher

Use caracteres aleatórios para tudo o que um gestor de palavras-passe vai guardar e escrever por si. Use uma frase-passe para os poucos segredos que tem de memorizar ou escrever à mão, como a palavra-passe do próprio gestor ou de um disco encriptado, e acrescente palavras em vez de truques para a tornar mais forte. Use um token para segredos que só o software lê: chaves de API, segredos de sessão, chaves de assinatura para HMAC ou JWT. O hex usa apenas dígitos e as letras de a a f. O Base64url leva os mesmos bytes em menos caracteres, e nenhum deles precisa de escape num URL.

A opção de evitar caracteres parecidos ajuda quando uma palavra-passe é lida em voz alta ou copiada de um papel. O conjunto de símbolos deixa de fora as aspas, a barra invertida, o acento grave, os sinais de menor e maior e o espaço, que costumam estragar comandos da shell e ficheiros de configuração. Símbolos como $, & e ! continuam no conjunto, por isso ponha a palavra-passe entre plicas quando a passar numa linha de comandos.