Segreti, e prove
Gli strumenti raccolti qui sembrano scollegati finché non noti cosa hanno in comune.
Il generatore di password crea un segreto che nessuno può indovinare. Il verificatore di estrazioni dimostra che un risultato che nessuno poteva prevedere non è stato nemmeno scelto di nascosto a posteriori. Ognuno è una domanda sulla casualità — una sul mantenerla segreta, una sul poter dimostrare che era reale.
Quella seconda domanda è quella che la maggior parte dei siti salta. Un concorso a premi, una lotteria, un’assegnazione di turni: l’organizzatore sa che l’estrazione è stata onesta, e tutti gli altri devono fidarsi sulla parola. Un seme più un’impronta trasformano il “fidati di me” in qualcosa che un partecipante può verificare da solo.
Quale scegliere
Creare una credenziale — una password di accesso, una passphrase da digitare a memoria, un PIN numerico o una chiave API per un file di configurazione. Tutte e quattro escono dal generatore di password, che mostra anche l’ entropia e un tempo stimato per craccarla, così la lunghezza che scegli è una scelta informata anziché una scommessa.
Verificare un’estrazione fatta da qualcun altro — incolla il certificato nel verificatore di estrazioni. Ricalcola il risultato a partire dal seme e confronta l’impronta. Se non coincidono, i numeri sono stati modificati dopo l’estrazione.
Perché generare una password qui non è una contraddizione
Ottenere una password da un sito web sembra il modo peggiore possibile per procurarsene una. Di solito lo è: se il valore viene generato su un server, è esistito sulla macchina di qualcun altro prima di esistere sulla tua, e non hai modo di sapere cosa gli sia successo lì.
Qui non viene generato nulla su un server. I caratteri provengono da
crypto.getRandomValues(), l’API del browser supportata dal pool di entropia del
tuo sistema operativo — la stessa fonte che il tuo browser usa per negoziare HTTPS. La pagina
non fa alcuna richiesta di rete mentre la usi. Puoi verificarlo aprendo
la scheda rete negli strumenti per sviluppatori, generando una password, e osservando che non
succede nulla. Se preferisci non fidarti nemmeno di questo, disconnettiti dalla
rete prima; lo strumento continua a funzionare.
Cosa questa categoria deliberatamente non include
Non c’è un controllore di robustezza delle password in cui incollare una password esistente. Digitare una password reale in un modulo web per farla “controllare” è una cattiva abitudine a prescindere da cosa promette il sito, e il generatore mostra già l’entropia per le password che crea.
Non c’è una ricerca di violazioni, nessun gestore di password e nessuno strumento di hashing. Per un gestore, usane uno dedicato — Bitwarden, 1Password e KeePass risolvono tutti il problema che questo sito non può risolvere, cioè ricordare le password al posto tuo. Per il controllo delle violazioni, Have I Been Pwned è il punto di riferimento.