Генератор на лозинки
Напредни поставки
Зборовите доаѓаат од англискиот EFF список, па фразата изгледа англиски без разлика на вашиот јазик.
Список зборови: EFF large wordlist од Electronic Frontier Foundation, лиценца CC BY 3.0 US. eff.org/diceПрикажи го пресметувањето
| Време за пробивање |
|---|
Оваа сесија
Генерирај повеќе одеднаш
Зачувани поставки
Лозинки, фрази, PIN-кодови и клучеви
Табовите над резултатот преминуваат меѓу четири вида тајни. Сите четири црпат од истиот локален извор на случајност — се менува само азбуката и правилата.
Случајна — должина од 4 до 128 знаци со која било комбинација на големи букви, мали букви, бројки и симболи. Под Напредни поставки се наоѓаат поставките што реалните сајтови ви ги наметнуваат: исклучете слични знаци (0/O, 1/l/I) за сè што ќе го препишувате рачно, забранете конкретни знаци што одреден сајт ги одбива, побарајте минимален број по тип на знак, забранете повторувања или клавијатурни низи како abc и qwe, или пропишете ја точната форма преку шаблон (A голема буква, a мала буква, # цифра, ! симбол, C согласка, v самогласка).
Фраза — неколку случајни зборови наместо еден измешан низ знаци, идејата correct-horse-battery-staple од XKCD 936. Зборовите доаѓаат од EFF large wordlist, листа со 7 776 зборови, стандард во светот на diceware, па секој збор додава 12,9 бита: пет зборови се приближно 65 бита и, за разлика од xK9#mP2$vL5@nQ8, можете да ги задржите во главата доволно долго за да ги внесете на телефон. Поставете разделувач, ставете голема прва буква кај секој збор, или додадете бројки и симбол кога сајтот го бара тоа. Вториот стил целосно ги избегнува англиските зборови и гради изговорливи слогови (tokrilmufsad) — полесни за диктирање по телефон и не претпоставуваат ништо за распоредот на тастатурата.
PIN — од 3 до 12 цифри за заклучување на телефон, SIM-картички, аларми и банкарски картички. Предвидливите никогаш не излегуваат: 1234, 0000, сите исти цифри и сè што личи на година на раѓање се отфрлаат и повторно се генерираат. Тој филтер значи повеќе отколку што звучи — во анализи на протечени бази со PIN-кодови, дваесетте најчести четирицифрени комбинации сочинуваат околу четвртина од сите.
Клучеви — случајни тајни во форматите што ги очекува кодот: хексадецимален, Base64 или само букви и бројки. Ги одредувате во бајти, па 32 бајти даваат 256-битен клуч (64 хекс знаци, 44 во Base64) за API-клуч, сесиска тајна, JWT_SECRET или SECRET_KEY. Истиот таб генерира и резервни кодови за 2FA во форматот познат од GitHub (k7fp-2mqx), составени од азбука без слични знаци за да преживеат запишување на хартија.
Зошто овој алат работи само во вашиот прелистувач
Повеќето генератори на лозинки работат добро — се додека не застанете да размислите што всушност се случува. Кога генерирате лозинка на сервер, тој сервер теоретски ја гледа. За повеќето сајтови тоа е веројатно во ред. Но „веројатно” не е сигурноста која ја сакате при поставувањето на банкарска сметка или е-пошта.
Овој генератор е изграден околу еден принцип: лозинката никогаш не го напушта вашиот уред. Сѐ работи во JavaScript директно во вашиот прелистувач. Релевантниот дел од кодот:
const array = new Uint8Array(length);
crypto.getRandomValues(array);crypto.getRandomValues() цепи ентропија од генераторот на случајни броеви на вашиот оперативен систем — истиот извор кој го користат криптографски библиотеки. Затворете го овој таб и лозинката исчезнува. Без логови, без база на податоци, без сервер.
Проблемот со „триковите” за лозинки
Со години безбедносните совети звучеа вака: земете збор, ставете голема буква на почетокот, додадете број на крајот, заменете една буква со симбол. Нешто како L0zinkata!.
Напаѓачите ги знаат овие трикови. Речничките напади не пробуваат само вообичаени зборови — пробуваат вообичаени зборови со вообичаени модификации. L0zinkata! не е силна лозинка; тоа е слаба лозинка во маскирање.
„Лозинките се како долна облека: не дозволувај им на луѓето да ги гледаат, менувај ги честопати и не треба да ги споделуваш со непознати.”
— Chris Pirillo
Вистинскиот пресврт дојде со менаџерите на лозинки. Кога не мора да памтите лозинка — кога таа живее безбедно во Bitwarden, 1Password или KeePass — нема причина да не користите нешто како xK9#mP2$vL5@nQ8 за секоја сметка. Генерирајте, копирајте, зачувајте. Тоа е целиот работен тек.
Потребата за редовно менување на лозинки беше еден од оригиналните причини зошто е создаден овој алат. Ротацијата на лозинка треба да трае 30 секунди, а не да предизвикува главоболка.
Колку долго е доволно долго?
Должината е поважна од сложеноста. Лозинка од 20 знаци само од мали букви има повеќе ентропија отколку лозинка од 10 знаци со сите четири типа знаци. И двете имаат значење, но должината победува.
| Лозинка | Должина | Време на пробивање |
|---|---|---|
password123 | 11 знаци | < 1 секунда |
AleksandarDim1985 | 17 знаци | 3 часа |
Abc123!@# | 9 знаци | 2 дена |
MyD0g!sF1uffy | 13 знаци | 5 години |
Tr$7mK@p9Lq2 | 12 знаци | 200+ години |
xK9#mP2$vL5@nQ8 | 15 знаци | 34 000 години |
NIST Special Publication 800-63B препорачува минимум 8 знаци, но забележува дека должината е основниот фактор на силата — задолжителните барања за специјални знаци честопати имаат обратен ефект правејќи ги лозинките попредвидливи.
Што прават типовите знаци
- Големи букви (A–Z) — 26 можности по позиција
- Мали букви (a–z) — уште 26
- Броеви (0–9) — 10
- Симболи (!@#$%…) — 32+ во зависност од множеството знаци
Со 16 знаци и сите четири типа (94 можни вредности по позиција): 94¹⁶ ≈ 3,7 × 10³¹ комбинации. Модерен GPU кластер кој пробива милијарда лозинки во секунда би требал подолго отколку возраста на вселената.
За развивачи: клучеви, тајни и масовна изработка
Табот Клучеви постои затоа што changeme и secret123 завршуваат во .env датотеки почесто отколку што некој ќе признае. Генерирајте ја вредноста во форматот што библиотеката всушност го очекува — хексадецимален за сè што бара суров клуч, Base64 за токени и заглавија, буквено-бројчен таму каде школка или URL би се сопнале на + и / — и одредете ја големината во бајти, а не во знаци, бидејќи токму така се специфицира силата на клучот: 16 бајти се 128-битен клуч, 32 бајти се 256-битен.
Сè доаѓа од crypto.getRandomValues(), CSPRNG на прелистувачот — истата класа извор како secrets во Python или crypto/rand во Go, а во никој случај не Math.random(), кој е доволно предвидлив за да се реконструира.
Под панелите, Генерирај повеќе одеднаш создава до 1 000 вредности и ги презема како TXT, CSV, JSON, YAML, .env или SQL — за поставување тест-сметки, доделување почетни креденцијали или пополнување колона без пишување привремена скрипта. Масовната изработка ги следи поставките за случајна лозинка (или вашиот шаблон), а не табовите за фраза и PIN.
Две помали погодности: Исчисти го клипбордот 60 секунди по копирањето го ограничува времето колку долго тајна стои во системскиот клипборд, а Зачувани поставки чува именуван сет на правила во вашиот прелистувач, па политика што често ја користите — 20 знаци, без симболи, без слични знаци — е на едно кликнување далеку. URL-адресата на страницата исто така ги носи тие поставки, никогаш генерираната вредност, па политиката е безбедна за букмарк или испраќање до колега.
Аргументот за менаџер на лозинки
Генерирањето силни лозинки е беспредметно ако ги повторно користите или ги зачувувате во lozinki.txt на работната површина. Verizonовиот извештај за истрага на нарушувања на податоци конзистентно утврдува дека 81% од нарушувањата вклучуваат украдени или слаби лозинки. Најчестата причина за повторна употреба: премногу сметки за следење.
Менаџерите на лозинки го решаваат ова чисто:
- Bitwarden — отворен код, бесплатното ниво покрива повеќето потреби, работи на сите платформи
- 1Password — полиран интерфејс, одлично споделување за семејства/тимови
- KeePass — целосно локален, без облак, целосна контрола
Кога лозинка протекува
- Веднаш сменете ја на секоја сметка каде сте ја користеле
- Активирајте 2FA на погодената сметка
- Проверете Have I Been Pwned — внесете го вашиот е-мејл за да ги видите минатите нарушувања
- Прегледајте ги активните сесии и отповикајте сѐ непознато
Препораки по тип на сметка
Финансиски сметки
- 16+ знаци, сите типови знаци
- Уникатна лозинка, никогаш повторно користена
- 2FA преку апликација за автентикација (не SMS)
Е-пошта
- 14+ знаци — вашата е-пошта ресетира секоја друга лозинка, правејќи ја круна на вашата безбедност
- Задолжително 2FA
- Редовно проверувајте ги поврзаните уреди
Социјални мрежи
- 12+ знаци
- 2FA преку апликација — SMS базираниот 2FA е ранлив на SIM замена напади
Работни сметки
- Следете ја политиката на компанијата (обично 14+)
- Никогаш не користете лични лозинки на работни системи; сменете веднаш при заминување
Вообичаени грешки кои вредат да ги избегнувате
Зачувување лозинки во обичен текст (lozinki.txt, апликација за белешки, нацрти е-пошта) — наместо тоа користете шифриран менаџер на лозинки.
Споделување лозинки преку чет или е-пошта — користете Bitwarden Send или слично безбедно споделување ако мора да споделите.
Потпирање на прелистувачот како единствен менаџер на лозинки — прелистувачите се подобруваат, но наменски менаџер со главна лозинка нуди подобро шифрирање и поддршка за повеќе платформи.
Македонски препораки
МКД-ЦИРТ (mkd-cirt.mk) на Северна Македонија ги објавува безбедносните препораки. Е-владиниот портал на земјата (uslugi.gov.mk) се проширува и сè повеќе бара силна автентикација. Силно се препорачува користење на менаџер на лозинки и овозможување 2FA каде е достапно.
Статистики за безбедност на лозинките
- 81% од корпоративните нарушувања вклучуваат украдени или слаби лозинки (Verizon DBIR)
- 59% од луѓето повторно ги користат лозинките на повеќе сметки
- 23% од најчестите лозинки може да се пробијат за помалку од 1 секунда
- Просечниот корисник има 100+ онлајн сметки кои бараат лозинки
Често поставувани прашања
Дали овој генератор е навистина приватен?
Да. Отворете ја конзолата за програмери (F12) додека генерирате лозинка и проверете го табот Мрежа — ќе видите нула испратени барања. Сѐ работи локално.Колку често треба да ги менувам лозинките?
Кога постои причина: познато нарушување, сомнеж за компромитирање или по споделување на пристап. NIST повеќе не препорачува задолжителна периодична ротација за своја сметка — принудните чести промени обично резултираат во послаби, попредвидливи лозинки.Дали можам да ја користам истата лозинка за повеќе сметки?
Не. Едно нарушување ги открива сите сметки кои ја споделуваат таа лозинка. Менаџерот на лозинки го олеснува одржувањето уникатни лозинки за стотици сметки.Лозинка или фраза — што да користам?
Користете случајна лозинка секаде каде менаџерот на лозинки ја внесува вместо вас, а фраза за ретките тајни што мора сами да ги внесувате: главната лозинка на менаџерот, шифрирањето на дискот, најавата на лаптопот. Пет зборови од EFF списокот се околу 65 бита ентропија — споредливо со случајна лозинка од 10 знаци со сите четири типа знаци — и многу полесни за точно внесување на телефон или телевизиски далечински управувач.Можам ли да генерирам случаен PIN?
Да, табот PIN создава од 3 до 12 цифри и ги одбива предвидливите: 1234, 0000, повторени цифри и години на раѓање. Шест цифри наместо вообичаените четири чинат речиси ништо повеќе при внесувањето, а бројот на обиди што му треба на напаѓачот го зголемуваат стократно.Можам ли ова да го користам за API-клучеви и тајни на апликации?
Токму за тоа служи табот Клучеви: излез во хексадецимален, Base64 или буквено-бројчен формат, со големина одредена во бајти. 32 бајти се 256-битен клуч, што повеќето библиотеки го сметаат за силна тајна заJWT_SECRET, SECRET_KEY или потпис на webhook. Истиот таб генерира и резервни кодови за 2FA.