Geheimen, en bewijs
De tools die hier zijn ondergebracht lijken niets met elkaar te maken, tot u ziet wat ze delen.
De wachtwoordgenerator maakt een geheim dat niemand kan raden. De trekkingsverifier bewijst dat een resultaat dat niemand kon voorspellen, ook niet stiekem achteraf is gekozen. Beide zijn een vraag over willekeur — de ene over geheimhouden, de andere over kunnen aantonen dat het echt was.
Die tweede vraag is degene die de meeste sites overslaan. Een weggeefactie, een loterij, een verdeling van diensten: de organisator weet dat de trekking eerlijk was, en iedereen moet dat op zijn woord aannemen. Een seed plus een vingerafdruk maakt van “vertrouw me maar” iets dat een deelnemer zelf kan controleren.
Waarvoor u welke tool gebruikt
Een inlogmiddel aanmaken — een inlogwachtwoord, een wachtwoordzin die u uit het hoofd moet typen, een numerieke PIN, of een API-sleutel voor een configuratiebestand. Alle vier komen uit de wachtwoordgenerator, die ook de entropie en een geschatte kraaktijd toont, zodat de lengte die u kiest een weloverwogen keuze is in plaats van een gok.
Een trekking van iemand anders controleren — plak het certificaat in de trekkingsverifier. Die berekent het resultaat opnieuw uit de seed en vergelijkt de vingerafdruk. Komt er iets niet overeen, dan zijn de cijfers na de trekking gewijzigd.
Waarom een wachtwoord genereren hier geen tegenspraak is
Een wachtwoord van een website halen klinkt als de slechtst denkbare manier om er een te krijgen. Dat is het meestal ook: als de waarde op een server wordt gegenereerd, heeft die al op andermans machine bestaan voordat hij op de uwe bestond, en heeft u geen manier om te weten wat daar mee is gebeurd.
Hier wordt niets op een server gegenereerd. De tekens komen uit
crypto.getRandomValues(), de browser-API die wordt gevoed door de entropiepool
van uw besturingssysteem — dezelfde bron die uw browser gebruikt om HTTPS op te
zetten. De pagina doet geen enkel netwerkverzoek terwijl u hem gebruikt. Dat kunt
u zelf controleren door het tabblad Netwerk in de ontwikkelaarstools te openen,
een wachtwoord te genereren, en te zien dat er niets gebeurt. Wilt u zelfs dat
niet op vertrouwen baseren, koppel dan eerst het netwerk los; de tool blijft
werken.
Wat deze categorie bewust niet bevat
Er is geen wachtwoordsterktecontrole waarin u een bestaand wachtwoord plakt. Een echt wachtwoord in een webformulier typen om het te laten “controleren” is een slechte gewoonte, wat de site ook belooft, en de generator toont al entropie voor de wachtwoorden die hij zelf aanmaakt.
Er is geen lekcontrole, geen wachtwoordmanager en geen hashtool. Voor een manager gebruikt u een specialistische — Bitwarden, 1Password en KeePass lossen alle drie het probleem op dat deze site niet kan, namelijk de wachtwoorden voor u onthouden. Voor lekcontrole is Have I Been Pwned de referentie.