Hemmeligheder, og beviser
Værktøjerne her ser urelaterede ud, indtil du bemærker, hvad de har til fælles.
Adgangskodegeneratoren laver en hemmelighed, som ingen kan gætte. Lodtrækningsverifikatoren beviser, at et resultat, ingen kunne forudsige, heller ikke stille og roligt blev valgt bagefter. Hver er et spørgsmål om tilfældighed — et om at holde det hemmeligt, et om at kunne demonstrere, at det var ægte.
Det andet spørgsmål er det, de fleste sider springer over. En konkurrence, et lotteri, en fordeling af vagter: arrangøren ved, at trækningen var ærlig, og alle andre må tage deres ord for det. En seed plus et fingeraftryk gør “stol på mig” til noget, en deltager kan kontrollere selv.
Hvad du skal gribe til
Opret en legitimation — en login-adgangskode, en adgangssætning du skal kunne skrive udenad, en numerisk PIN-kode eller en API-nøgle til en konfigurationsfil. Alle fire kommer fra adgangskodegeneratoren, som også viser entropien og en estimeret tid til at knække, så den længde, du vælger, er et informeret valg frem for et gæt.
Kontrollér en lodtrækning, en anden har foretaget — indsæt certifikatet i lodtrækningsverifikatoren. Den genberegner resultatet ud fra seedet og sammenligner fingeraftrykket. Hvis de ikke stemmer overens, blev tallene ændret efter trækningen.
Hvorfor det ikke er en modsigelse at generere en adgangskode her
At hente en adgangskode fra en hjemmeside lyder som den værst tænkelige måde at få en på. Det er det som regel også: hvis værdien genereres på en server, eksisterede den på en andens maskine, før den eksisterede på din, og du har ingen mulighed for at vide, hvad der skete med den der.
Intet genereres på en server her. Tegnene kommer fra
crypto.getRandomValues(), browser-API’et der trækker på dit operativsystems
entropipulje — samme kilde din browser bruger til at forhandle HTTPS. Siden
foretager ingen netværksanmodninger, mens du bruger den. Du kan bekræfte det ved
at åbne netværksfanen i udviklerværktøjerne, generere en adgangskode og se, at
der ikke sker noget. Hvis du hellere vil undgå selv den tillid, skal du koble fra
netværket først; værktøjet fortsætter med at virke.
Hvad denne kategori bevidst ikke indeholder
Der er ingen adgangskodestyrke-tjekker, som du kan indsætte en eksisterende adgangskode i. At skrive en rigtig adgangskode ind i en webformular for at få den “tjekket” er en dårlig vane, uanset hvad siden lover, og generatoren viser allerede entropien for de adgangskoder, den skaber.
Der er ingen søgning efter datalæk, ingen adgangskodeadministrator og intet hashing-værktøj. Til en administrator skal du bruge en dedikeret en — Bitwarden, 1Password og KeePass løser alle det problem, denne side ikke kan, nemlig at huske adgangskoderne for dig. Til søgning efter datalæk er Have I Been Pwned referencen.