Tajne, i dokaz
Alati okupljeni ovdje djeluju nepovezano dok ne primijetite šta imaju zajedničko.
Generator lozinki pravi tajnu koju niko ne može pogoditi. Provjera izvlačenja dokazuje da rezultat koji niko nije mogao predvidjeti nije naknadno tiho izabran. Svako od njih postavlja pitanje o nasumičnosti — jedno o tome kako je čuvati u tajnosti, drugo o tome kako dokazati da je bila stvarna.
To drugo pitanje je ono koje većina sajtova preskače. Nagradna igra, tombola, raspored smjena: organizator zna da je izvlačenje bilo pošteno, a svi ostali mu moraju vjerovati na riječ. Sjeme plus otisak pretvara “vjeruj mi” u nešto što učesnik može sam provjeriti.
Šta odabrati
Pravljenje kredencijala — lozinka za prijavu, fraza koju morate ukucati napamet, numerički PIN ili API ključ za konfiguracioni fajl. Sve četvoro dolazi iz generatora lozinki, koji takođe prikazuje entropiju i procijenjeno vrijeme probijanja, tako da je dužina koju odaberete informisana odluka, a ne pogađanje.
Provjera tuđeg izvlačenja — nalijepite certifikat u provjeru izvlačenja. Ona ponovo izračunava rezultat iz sjemena i upoređuje otisak. Ako se bilo šta ne poklapa, brojevi su mijenjani poslije izvlačenja.
Zašto generisanje lozinke ovdje nije kontradikcija
Preuzimanje lozinke sa nekog sajta zvuči kao najgori mogući način da je dobijete. Obično i jeste: ako je vrijednost generisana na serveru, postojala je na tuđoj mašini prije nego što je postojala na vašoj, i nemate način da saznate šta joj se tamo desilo.
Ovdje se ništa ne generiše na serveru. Znakovi dolaze iz
crypto.getRandomValues(), API-ja preglednika koji crpi iz izvora
nasumičnosti vašeg operativnog sistema — istog izvora koji vaš preglednik
koristi za pregovaranje HTTPS-a. Stranica ne šalje nikakav mrežni zahtjev
dok je koristite. To možete provjeriti tako što otvorite karticu mreže u
razvojnim alatima, generišete lozinku i posmatrate da se ništa ne dešava.
Ako ne želite vjerovati ni tome na riječ, prvo se odspojite s mreže — alat
nastavlja da radi.
Šta ova kategorija namjerno ne sadrži
Ovdje nema provjere jačine lozinke u koju biste nalijepili postojeću lozinku. Kucanje stvarne lozinke u web obrazac da bi bila “provjerena” je loša navika bez obzira šta sajt obećava, a generator već pokazuje entropiju za lozinke koje sam pravi.
Ovdje nema pretrage povreda podataka, menadžera lozinki ni alata za heširanje. Za menadžer koristite namjenski — Bitwarden, 1Password i KeePass svi rješavaju problem koji ovaj sajt ne može, a to je pamćenje lozinki umjesto vas. Za provjeru povreda, Have I Been Pwned je referenca.