Тајни, и докази
Алатите наведени тука делуваат неповрзано сѐ додека не забележите што ги поврзува.
Генераторот на лозинки прави тајна што никој не може да ја погоди. Верификаторот на извлекувања докажува дека резултат што никој не можел да го предвиди исто така не бил тивко избран дополнително. Секој е прашање за случајноста — едното за нејзино зачувување во тајност, другото за можноста да се докаже дека била вистинска.
Второто прашање е она што повеќето сајтови го прескокнуваат. Наградна игра, томбола, распределба на смени: организаторот знае дека извлекувањето било чесно, а сите останати мора да му веруваат на збор. Семе плус отпечаток претвора „верувај ми” во нешто што учесникот може сам да го провери.
Кон што да посегнете
Правење на акредитив — лозинка за најава, фраза што мора да ја внесете од сеќавање, нумерички PIN, или API-клуч за конфигурациска датотека. Сите четири излегуваат од генераторот на лозинки, кој исто така ја прикажува ентропијата и проценетото време за пробивање, па должината што ја избирате е информирана одлука, а не нагаѓање.
Проверка на извлекување што некој друг го спровел — залепете го сертификатот во верификаторот на извлекувања. Тој го пресметува повторно резултатот од семето и го споредува отпечатокот. Ако нешто не се совпаѓа, бројките биле сменети по извлекувањето.
Зошто генерирањето лозинка тука не е противречност
Земањето лозинка од сајт звучи како најлошиот можен начин да ја добиете. Тоа најчесто и е случајот: ако вредноста е генерирана на сервер, таа постоела на туѓа машина пред да постои на вашата, а вие немате начин да знаете што се случило со неа таму.
Тука ништо не се генерира на сервер. Знаците доаѓаат од
crypto.getRandomValues(), API на прелистувачот поддржан од базенот на
ентропија на вашиот оперативен систем — истиот извор што вашиот прелистувач
го користи за преговарање на HTTPS. Страницата не прави ниту еден мрежен
барање додека ја користите. Тоа можете да го потврдите со отворање на табот
за мрежа во алатките за програмери, генерирање лозинка и набљудување дека
ништо не се случува. Ако не сакате ниту тоа да го земете на верба, прекинете
ја врската со мрежата прво; алатот продолжува да работи.
Што оваа категорија намерно не вклучува
Нема проверувач на јачина на лозинка во кој ставате постојна лозинка. Внесувањето вистинска лозинка во веб-форма за да биде „проверена” е лоша навика без разлика што ветува сајтот, а генераторот веќе ја прикажува ентропијата за лозинките што ги создава.
Нема пребарување на протекувања, нема менаџер на лозинки и нема алатка за хеширање. За менаџер, користете наменски — Bitwarden, 1Password и KeePass сите го решаваат проблемот што овој сајт не може, а тоа е памтењето на лозинките наместо вас. За проверка на протекувања, Have I Been Pwned е референцата.