Tajemství a jejich důkaz
Nástroje zařazené tady vypadají nesouvisle, dokud si nevšimnete, co mají společné.
Generátor hesel vytvoří tajnou hodnotu, kterou nikdo neuhodne. Ověřovač losování dokáže, že výsledek, který nikdo nemohl předvídat, nebyl potichu vybrán až dodatečně. Obojí je otázka kolem náhodnosti — jedna se týká toho, jak ji udržet v tajnosti, druhá toho, jak prokázat, že byla skutečná.
Tu druhou otázku většina webů přeskočí. Slosování, tombola, rozdělení směn: organizátor ví, že losování bylo poctivé, a všichni ostatní mu to musí věřit na slovo. Semínko (seed) a otisk (fingerprint) promění „věřte mi” v něco, co si účastník může sám ověřit.
Co použít, když
Vytvoření přihlašovacích údajů — heslo pro přihlášení, fráze, kterou musíte napsat zpaměti, číselný PIN, nebo API klíč do konfiguračního souboru. Všechny čtyři vytváří generátor hesel, který zároveň ukazuje entropii a odhadovaný čas prolomení, takže volba délky je informované rozhodnutí, ne odhad.
Ověření cizího losování — vložte certifikát do ověřovače losování. Ten přepočítá výsledek ze semínka a porovná otisk. Pokud se neshodují, čísla byla po losování změněna.
Proč generování hesla tady není protimluv
Stažení hesla z webu zní jako nejhorší možný způsob, jak k němu přijít. Obvykle taky je: pokud se hodnota generuje na serveru, existovala nejdřív na cizím stroji a vy nemáte šanci zjistit, co se s ní tam dělo.
Tady se na serveru negeneruje nic. Znaky pocházejí z
crypto.getRandomValues(), API prohlížeče napojené na entropii vašeho operačního
systému — stejný zdroj, který prohlížeč používá při vyjednávání HTTPS. Stránka
během používání neposílá žádný síťový požadavek. Můžete si to ověřit sami:
otevřete v nástrojích pro vývojáře záložku Síť, vygenerujte heslo a sledujte,
že se nic neděje. Pokud tomu ani tak nevěříte, odpojte se od sítě — nástroj
funguje dál.
Co tahle kategorie záměrně neobsahuje
Není tu žádný kontrolor síly hesla, do kterého byste vkládali existující heslo. Zadávat skutečné heslo do webového formuláře, aby ho někdo „zkontroloval”, je špatný zvyk bez ohledu na to, co web slibuje — a generátor už entropii u hesel, která vytváří, ukazuje sám.
Není tu žádné vyhledávání úniků, žádný správce hesel a žádný hashovací nástroj. Na správu hesel použijte specializovaný nástroj — Bitwarden, 1Password i KeePass řeší problém, na který tento web nestačí, a to je pamatovat si hesla za vás. Na kontrolu úniků je referencí Have I Been Pwned.