סודות, והוכחה
הכלים המסווגים כאן נראים לא קשורים עד שאתם שמים לב למה שהם חולקים.
מחולל הסיסמאות יוצר סוד שאף אחד לא יכול לנחש. מאמת ההגרלות מוכיח שתוצאה שאף אחד לא יכול היה לחזות גם לא נבחרה בשקט אחרי המעשה. כל אחד מהם הוא שאלה על אקראיות — אחת על שמירתה בסוד, ואחת על היכולת להוכיח שהיא הייתה אמיתית.
השאלה השנייה היא זו שרוב האתרים מדלגים עליה. חלוקת פרסים, הגרלה, חלוקת משמרות: המארגן יודע שההגרלה הייתה הוגנת, וכל השאר נאלצים להאמין לו על מילתו. זרע (seed) בתוספת טביעת אצבע הופכים “תאמינו לי” למשהו שמשתתף יכול לבדוק בעצמו.
לאיזה כלי לפנות
יצירת אישור התחברות — סיסמת כניסה, ביטוי סיסמה שצריך להקליד מהזיכרון, קוד PIN מספרי, או מפתח API עבור קובץ תצורה. כל ארבעת אלה יוצאים מ- מחולל הסיסמאות, שגם מציג את האנטרופיה וזמן פריצה משוער, כך שהאורך שאתם בוחרים הוא בחירה מושכלת ולא ניחוש.
בדיקת הגרלה שמישהו אחר ניהל — הדביקו את התעודה לתוך מאמת ההגרלות. הוא מחשב מחדש את התוצאה מהזרע ומשווה את טביעת האצבע. אם משהו לא תואם, המספרים שונו אחרי ההגרלה.
למה יצירת סיסמה כאן אינה סתירה
לקבל סיסמה מאתר אינטרנט נשמע כמו הדרך הכי גרועה לקבל אחת. בדרך כלל זה נכון: אם הערך נוצר על שרת, הוא היה קיים על מכשיר של מישהו אחר לפני שהיה קיים על שלכם, ואין לכם דרך לדעת מה קרה לו שם.
שום דבר לא נוצר על שרת כאן. התווים מגיעים מ-
crypto.getRandomValues(), ה-API של הדפדפן הנשען על מאגר האנטרופיה
של מערכת ההפעלה שלכם — אותו מקור שהדפדפן שלכם משתמש בו כדי לנהל משא ומתן על HTTPS. העמוד
לא מבצע שום בקשת רשת בזמן שאתם משתמשים בו. אתם יכולים לוודא זאת על ידי פתיחת
לשונית הרשת בכלי הפיתוח, יצירת סיסמה, וצפייה בכך ששום דבר לא
קורה. אם אתם מעדיפים לא לסמוך אפילו על זה, נתקו מהרשת
תחילה; הכלי ימשיך לעבוד.
מה הקטגוריה הזו במכוון לא כוללת
אין בודק חוזק סיסמה שמדביקים אליו סיסמה קיימת. הקלדת סיסמה אמיתית לתוך טופס אינטרנט כדי “לבדוק” אותה היא הרגל רע ללא קשר למה שהאתר מבטיח, והמחולל כבר מציג אנטרופיה עבור הסיסמאות שהוא יוצר.
אין חיפוש דליפות, אין מנהל סיסמאות ואין כלי גיבוב. עבור מנהל, השתמשו בכלי ייעודי — Bitwarden, 1Password ו-KeePass כולם פותרים את הבעיה שהאתר הזה לא יכול, שהיא לזכור את הסיסמאות בשבילכם. לבדיקת דליפות, Have I Been Pwned הוא הכתובת המומלצת.