Paroolid, fraasid, PIN-koodid ja võtmed

Väljundi kohal olevad sakid lülituvad nelja eri liiki saladuse vahel. Kõik neli ammutavad juhuslikkust samast kohalikust allikast — muutuvad ainult tähestik ja reeglid.

Juhuslik — pikkus 4 kuni 128 märki, suvalise kombinatsiooniga suurtähti, väiketähti, numbreid ja erimärke. Täpsemad seaded alt leiab piirangud, mida päris veebilehed teile peale suruvad: sarnaste märkide (0/O, 1/l/I) välistamine, kui hakkate parooli käsitsi ümber kirjutama, konkreetsete märkide keelamine, mida mõni leht ei luba, minimaalse arvu nõudmine märgitüübi kohta, korduste või klaviatuurijärjestuste nagu abc ja qwe keelamine, või täpse kuju määramine malliga (A suurtäht, a väiketäht, # number, ! erimärk, C kaashäälik, v täishäälik).

Fraas — mitu juhuslikku sõna ühe segatud sõne asemel, XKCD 936 tuntud correct-horse-battery-staple idee. Sõnad pärinevad EFF large wordlist sõnastikust, 7 776 kirjet ehk diceware’i standard, nii et iga sõna lisab 12,9 bitti: viis sõna teeb umbes 65 bitti ja erinevalt xK9#mP2$vL5@nQ8-st mahub see pähe piisavalt hästi, et see telefonis ära trükkida. Määrake eraldaja, kirjutage sõnad suure algustähega või lisage numbrid ja erimärk, kui leht seda nõuab. Teine stiil jätab inglise sõnad täiesti kõrvale ja koostab väljamõeldud silbid (tokrilmufsad) — telefonis ette lugeda kergem ja ei eelda midagi teie klaviatuuripaigutuse kohta.

PIN — 3 kuni 12 numbrit telefonilukkude, SIM-kaartide, valveseadmete ja pangakaartide jaoks. Etteaimatavad kombinatsioonid ei pääse kunagi läbi: 1234, 0000, kõik ühesugused numbrid ja kõik, mis meenutab sünniaastat, lükatakse tagasi ja genereeritakse uuesti. See filter on olulisem, kui esmapilgul tundub — lekkinud PIN-andmestike analüüsides katavad kakskümmend kõige levinumat neljakohalist kombinatsiooni umbes veerandi kõigist.

Võtmed — juhuslikud saladused vormingutes, mida kood ootab: kuueteistkümnendsüsteem, Base64 või lihtsalt tähed ja numbrid. Suurust määrate baitides, nii et 32 baiti annab 256-bitise võtme (64 kuueteistkümnendmärki ehk 44 Base64s) API-võtme, seansisaladuse, JWT_SECRET või SECRET_KEY jaoks. Sama sakk toodab ka 2FA varukoode GitHubist tuttavas vormingus (k7fp-2mqx), koostatud tähestikust, milles pole sarnaseid märke, nii et need püsivad loetavana ka paberile kirjutatuna.

Miks see tööriist töötab ainult teie brauseris

Enamik parooligeneraatoreid töötab hästi — kuni te ei peatu mõtlemast, mis tegelikult toimub. Kui genereerite parooli serveris, näeb see server seda teoreetiliselt. Enamiku saitide jaoks on see tõenäoliselt okei. Kuid „tõenäoliselt” ei ole kindlus, mida soovite pangakonto või e-posti seadistamisel.

See generaator on loodud ühe põhimõtte ümber: parool ei lahku kunagi teie seadmest. Kõik töötab JavaScriptis otse teie brauseris. Asjakohane osa koodist:

const array = new Uint8Array(length);
crypto.getRandomValues(array);

crypto.getRandomValues() ammutab entroopiat teie operatsioonisüsteemi juhuslike arvude generaatorist — samast allikast, mida kasutavad krüptograafilised teegid. Sulgege see vaheleht ja parool on kadunud. Logisid pole, andmebaasi pole, serverit pole.

Probleem paroolinipetega

Aastaid kõlasid turvalisuse nõuanded nii: võta sõna, pane esimene täht suureks, lisa lõppu number, vaheta üks täht sümboli vastu. Midagi sellist nagu P@rool1.

Ründajad teavad neid nippe. Sõnaraamatute rünnakud ei proovi mitte ainult tavalisi sõnu — nad proovivad tavalisi sõnu tavaliste muudatustega. P@rool1 ei ole tugev parool; see on nõrk parool maskeeringus.

„Paroolid on nagu pesu: ära lase teistel neid näha, vaheta neid sageli ja ära jaga neid võõrastega.”
— Chris Pirillo

Tõeline muutus tuli paroolihalduritega. Kui te ei pea parooli meeles pidama — kui see elab turvaliselt Bitwardenis, 1Passwords või KeePassis — pole põhjust mitte kasutada iga konto jaoks midagi sellist nagu xK9#mP2$vL5@nQ8. Genereeri, kopeeri, salvesta. See on kogu töövoog.

Paroolide regulaarse vahetamise vajadus oli üks algsetest põhjustest, miks see tööriist loodi. Parooli roteerimiseks peaks kuluma 30 sekundit, mitte tekitama peavalu.

Kui pikk on piisavalt pikk?

Pikkus on olulisem kui keerukus. 20-märgiline parool ainult väiketähtedest on suurema entroopiana kui 10-märgiline parool kõigi nelja märgitüübiga. Mõlemad on olulised, kuid pikkus võidab.

Parool	Pikkus	Murdmisaeg
`password123`	11 märki	< 1 sekund
`JaanTamm1985`	12 märki	3 tundi
`Abc123!@#`	9 märki	2 päeva
`MyD0g!sF1uffy`	13 märki	5 aastat
`Tr$7mK@p9Lq2`	12 märki	200+ aastat
`xK9#mP2$vL5@nQ8`	15 märki	34 000 aastat

NIST Special Publication 800-63B soovitab minimaalset 8 märki, kuid märgib, et pikkus on tugevuse esmane tegur — kohustuslikud erimärkide nõuded töötavad sageli tagurpidi, muutes paroolid etteaimatavamaks.

Mida märgitüübid teevad

Suurtähed (A–Z) — 26 võimalust positsioonile
Väiketähed (a–z) — veel 26
Numbrid (0–9) — 10
Sümbolid (!@#$%…) — 32+ sõltuvalt märgistikust

16 märgiga kõigi nelja tüübiga (94 võimalikku väärtust positsioonile): 94¹⁶ ≈ 3,7 × 10³¹ kombinatsiooni. Kaasaegne GPU klaster, mis murrab miljardi parooli sekundis, vajaks rohkem aega kui universumi vanus.

Arendajatele: võtmed, saladused ja hulgiväljund

Sakk Võtmed on olemas seetõttu, et changeme ja secret123 jõuavad .env failidesse sagedamini, kui keegi tunnistada julgeb. Genereerige väärtus vormingus, mida teek tegelikult ootab — kuueteistkümnendsüsteem toorest võtit vajavale, Base64 tokenitele ja päistele, tähed-numbrid vormingule, kus shell või URL läheks + või / peale segadusse — ja määrake suurus baitides, mitte märkides, sest nii määratletakse võtme tugevust: 16 baiti on 128-bitine võti, 32 baiti on 256-bitine.

Kõik tuleb crypto.getRandomValues() funktsioonist, brauseri CSPRNG-st — sama liiki allikas nagu secrets Pythonis või crypto/rand Go’s, ja kindlasti mitte Math.random(), mis on piisavalt etteaimatav, et seda taastada.

Paneelide all toodab Genereeri mitu korraga kuni 1 000 väärtust ja laeb need alla vormingus TXT, CSV, JSON, YAML, .env või SQL — testkontode külvamiseks, algsete mandaatide jagamiseks või veeru täitmiseks ilma äraviskamatut skripti kirjutamata. Hulgiväljund järgib juhusliku parooli seadeid (või teie malli), mitte fraasi ega PIN-i sakke.

Kaks väiksemat mugavust: Tühjenda lõikelaud 60 sekundit pärast kopeerimist piirab, kui kaua saladus süsteemi lõikelaual seisab, ning Salvestatud seaded hoiavad brauseris nimega reeglikomplekti, nii et sageli kasutatav poliitika — 20 märki, ilma erimärkideta, ilma sarnaste märkideta — on ühe klõpsu kaugusel. Lehe URL kannab samuti neid seadeid, mitte kunagi loodud väärtust, nii et poliitikat on ohutu järjehoidjaks salvestada või kolleegile saata.

Argument paroolihalduri kasuks

Tugevate paroolide genereerimine on mõttetu, kui te neid korduvalt kasutate või salvestate paroolid.txt faili töölauale. Verizoni andmerikkumiste uurimise aruanne leiab järjepidevalt, et 81% rikkumistest hõlmab varastatud või nõrku paroole. Kõige levinum põhjus, miks inimesed paroole korduvalt kasutavad: liiga palju kontosid jälgida.

Paroolihaldurid lahendavad selle kenasti:

Bitwarden — avatud lähtekood, tasuta tase katab enamiku vajadused, töötab kõigil platvormidel
1Password — lihvitud kasutajaliides, suurepärane pere/meeskonna jagamine
KeePass — täiesti kohalik, pilveta, täielik kontroll

Kui parool lekib

Muutke seda kohe igal kontol, kus seda kasutasite
Aktiveerige 2FA mõjutatud kontol
Kontrollige Have I Been Pwned — sisestage oma e-post varasemate rikkumiste nägemiseks
Vaadake üle aktiivsed seansid ja tühistage kõik tundmatu

Soovitused kontotüübi järgi

Finantskontod

16+ märki, kõik märgitüübid
Ainulaadne parool, mida ei kasutata uuesti
2FA autentimisrakenduse kaudu (mitte SMS)

E-post

14+ märki — teie e-post lähtestab iga teise parooli, muutes selle teie turvalisuse kroondragooniks
Kohustuslik 2FA
Kontrollige regulaarselt sisselogitud seadmeid

Sotsiaalmeedia

12+ märki
2FA rakenduse kaudu — SMS-põhine 2FA on haavatav SIM-vahetuse rünnakute suhtes

Töökontod

Järgige ettevõtte poliitikat (tavaliselt 14+)
Ärge kunagi kasutage isiklikke paroole töösüsteemides; muutke kohe lahkumisel

Levinud vead, mida tasub vältida

Paroolide salvestamine lihttekstina (paroolid.txt, märkmete rakendus, e-kirja mustandid) — kasutage selle asemel krüpteeritud paroolihaldurit.

Paroolide jagamine chati või e-posti kaudu — kasutage Bitwarden Send või sarnast turvalist jagamist, kui peate jagama.

Ainult brauserile lootmine paroolihaldurina — brauserid paranevad, kuid pühendatud haldur peaparooliga pakub paremat krüpteerimist ja platvormideülest tuge.

Eesti eripärad

Eesti on maailmas e-valitsemises esirinnas — kuid ka e-ID süsteemide puhul jäävad tugevad paroolid aluseks. Riigi Infosüsteemi Amet (RIA, ria.ee) soovitab kõigi digiservicede jaoks paroolihaldureid kasutada. Eesti X-tee infrastruktuur ühendab sadu teenuseid, muutes paroolihügieeni eriti oluliseks.

Parooliturvalisuse statistika

81% ärilisest rikkumistest hõlmab varastatud või nõrku paroole (Verizon DBIR)
59% inimestest kasutab paroole korduvalt mitmel kontol
23% kõige tavalisematest paroolidest saab murda alla 1 sekundiga
Keskmise kasutaja 100+ veebikontot nõuavad paroole

Korduma kippuvad küsimused

Kas see generaator on tõesti privaatne?

Jah. Avage brauseri arendaja konsool (F12) parooli genereerimisel ja kontrollige Võrgu vahekaarti — näete nullilähedast saadetud päringuid. Kõik töötab lokaalselt.

Kui sageli peaksin paroole vahetama?

Kui on põhjust: teadaolev rikkumine, kompromisskahtlus või pärast ligipääsu jagamist. NIST ei soovita enam kohustuslikku perioodilist roteerimist iseendale — sunnitud sagedased muutused viivad tavaliselt nõrgemate, etteaimatavamate paroolideni.

Kas saan kasutada sama parooli mitme konto jaoks?

Ei. Üks rikkumine paljastab iga konto, mis seda parooli jagab. Paroolihaldur muudab sadade kontode jaoks ainulaadsete paroolide hoidmise lihtsaks.

Parool või fraas — kumba kasutada?

Kasutage juhuslikku parooli kõikjal, kus paroolihaldur selle teie eest sisestab, ja fraasi nende väheste saladuste jaoks, mida peate ise trükkima: halduri peaparool, kettakrüpteering, sülearvuti sisselogimine. Viis sõna EFF-i nimekirjast annab umbes 65 bitti entroopiat — võrreldav 10-märgilise juhusliku parooliga, kus kasutatakse kõiki nelja märgitüüpi — ja seda on palju lihtsam õigesti sisestada telefonis või telerikaugjuhtimispuldiga.

Kas saan genereerida juhusliku PIN-koodi?

Jah, sakk PIN toodab 3 kuni 12 numbrit ja keeldub etteaimatavatest: 1234, 0000, korduvad numbrid ja sünniaastad. Kuus numbrit tavapärase nelja asemel maksab trükkimisel peaaegu mitte midagi, kuid korrutab ründaja vajaminevate katsete arvu sajaga.

Kas saan seda kasutada API-võtmete ja rakenduse saladuste jaoks?

Selleks ongi sakk Võtmed mõeldud: kuueteistkümnend-, Base64- või tähed-numbrid väljund, suurus baitides. 32 baiti on 256-bitine võti, mida enamik teeke peab tugevaks saladuseks JWT_SECRET, SECRET_KEY või veebihaagi allkirja jaoks. Sama sakk genereerib ka 2FA varukoode.

Kas saan genereerida korraga rohkem kui ühe?

Genereeri mitu korraga toodab kuni 1 000 väärtust ja laeb need alla vormingus TXT, CSV, JSON, YAML, .env või SQL. See kasutab juhusliku parooli seadeid või teie malli, seega on see mõeldud kontode ja testandmete külvamiseks, mitte fraasi ega PIN-i saki jaoks.

Mis on tugevam — pikkus või keerukus?

Pikkus. 20-märgiline parool ainult väiketähtedest on suurema entroopiana kui 10-märgiline parool kõigi märgitüüpidega. Kasutage mõlemat, kuid eelistage pikkust.

Mis juhtub, kui unustasin parooli?

Kasutage paroolihaldurit, et peaksite meeles pidama ainult üht peaparooli. Haldurita kontode puhul pakuvad enamik teenuseid e-posti teel taastamist — seetõttu on teie e-posti kaitsmine tugeva parooli ja 2FA-ga hädavajalik.

Tugev parooligeneraator

Genereeri mitu korraga

Salvestatud seaded