Hemmeligheter, og bevis
Verktøyene arkivert her virker urelaterte til du ser hva de har felles.
Passordgeneratoren lager en hemmelighet ingen kan gjette. Trekningsverifikatoren beviser at et resultat ingen kunne forutsi, heller ikke ble stille valgt i ettertid. Hver av dem er et spørsmål om tilfeldighet — det ene om å holde det hemmelig, det andre om å kunne bevise at det var ekte.
Det andre spørsmålet er det de fleste nettsteder hopper over. En giveaway, en loddtrekning, en fordeling av vakter: arrangøren vet at trekningen var ærlig, og alle andre må ta ordet for det. En seed pluss et fingeravtrykk gjør «stol på meg» om til noe en deltaker kan sjekke selv.
Hva du skal bruke
Lage en credential — et innloggingspassord, en passfrase du må skrive fra hukommelsen, en numerisk PIN-kode, eller en API-nøkkel til en konfigurasjonsfil. Alle fire kommer fra passordgeneratoren, som også viser entropien og en estimert tid for å knekke det, slik at lengden du velger, er et informert valg fremfor en gjetning.
Sjekke en trekning noen andre kjørte — lim inn sertifikatet i trekningsverifikatoren. Den regner ut resultatet på nytt fra seeden og sammenligner fingeravtrykket. Er det uenighet noe sted, ble tallene endret etter trekningen.
Hvorfor det ikke er et paradoks å generere et passord her
Å hente et passord fra et nettsted høres ut som den verste måten å skaffe seg et på. Vanligvis er det det: hvis verdien genereres på en server, eksisterte den på noen andres maskin før den eksisterte på din, og du har ingen måte å vite hva som skjedde med den der.
Ingenting genereres på en server her. Tegnene kommer fra
crypto.getRandomValues(), nettleser-API-et støttet av operativsystemets
entropikilde — den samme kilden nettleseren din bruker til å forhandle
HTTPS. Siden gjør ingen nettverksforespørsel mens du bruker den. Du kan
bekrefte det ved å åpne nettverksfanen i utviklerverktøyene, generere et
passord, og se at ingenting skjer. Vil du ikke stole på selv det, kobler du
fra nettverket først; verktøyet fortsetter å virke.
Hva denne kategorien bevisst ikke inneholder
Det finnes ingen passordstyrke-sjekker der du limer inn et eksisterende passord. Å skrive et ekte passord inn i et nettskjema for å bli «sjekket» er en dårlig vane uansett hva nettstedet lover, og generatoren viser allerede entropi for passordene den lager.
Det finnes ingen bruddsøk, ingen passordadministrator og ingen hashing-verktøy. Til en administrator, bruk en dedikert en — Bitwarden, 1Password og KeePass løser alle problemet dette nettstedet ikke kan, nemlig å huske passordene for deg. Til bruddsjekk er Have I Been Pwned referansen.