Sekrety i dowody
Narzędzia zebrane tutaj wydają się niepowiązane, dopóki nie zauważysz, co je łączy.
Generator haseł tworzy sekret, którego nikt nie odgadnie. Weryfikator losowania dowodzi, że wynik, którego nikt nie mógł przewidzieć, nie został też po cichu wybrany po fakcie. Każde z nich to pytanie o losowość — jedno o utrzymanie jej w tajemnicy, drugie o możliwość jej udowodnienia.
To drugie pytanie jest tym, które większość stron pomija. Rozdanie nagród, loteria, przydział zmian: organizator wie, że losowanie było uczciwe, a wszyscy pozostali muszą mu po prostu uwierzyć na słowo. Ziarno (seed) plus odcisk palca (fingerprint) zamienia „zaufaj mi” w coś, co uczestnik może sprawdzić sam.
Po co sięgnąć
Tworzenie poświadczenia — hasła do logowania, frazy, którą musisz wpisać z pamięci, numerycznego PIN-u albo klucza API do pliku konfiguracyjnego. Wszystkie cztery pochodzą z generatora haseł, który dodatkowo pokazuje entropię i szacowany czas złamania, więc długość, którą wybierasz, jest świadomą decyzją, a nie zgadywaniem.
Sprawdzenie losowania przeprowadzonego przez kogoś innego — wklej certyfikat do weryfikatora losowania. Przelicza on wynik na podstawie ziarna i porównuje odcisk palca. Jeśli którykolwiek z tych elementów się nie zgadza, liczby zostały zmienione po losowaniu.
Dlaczego generowanie hasła tutaj nie jest sprzecznością
Pobieranie hasła ze strony internetowej brzmi jak najgorszy możliwy sposób, żeby je zdobyć. Zwykle tak właśnie jest: jeśli wartość jest generowana na serwerze, istniała na cudzej maszynie, zanim zaistniała na Twojej, i nie masz sposobu, by dowiedzieć się, co się tam z nią działo.
Tutaj nic nie jest generowane na serwerze. Znaki pochodzą z
crypto.getRandomValues(), API przeglądarki zasilanego przez pulę entropii
Twojego systemu operacyjnego — to samo źródło, którego przeglądarka używa do
negocjowania HTTPS. Strona nie wykonuje żadnego żądania sieciowego podczas
korzystania z niej. Możesz to potwierdzić, otwierając kartę sieci w
narzędziach deweloperskich, generując hasło i obserwując, że nic się nie
dzieje. Jeśli nawet to nie chcesz brać na wiarę, odłącz się od sieci — narzędzie
nadal będzie działać.
Czego ta kategoria świadomie nie zawiera
Nie ma tu sprawdzarki siły hasła, do której wklejasz istniejące hasło. Wpisywanie prawdziwego hasła do formularza internetowego w celu jego „sprawdzenia” to zły nawyk niezależnie od tego, co obiecuje dana strona, a generator i tak pokazuje entropię tworzonych przez siebie haseł.
Nie ma tu wyszukiwarki wycieków, menedżera haseł ani narzędzia do haszowania. Do zarządzania hasłami użyj dedykowanego rozwiązania — Bitwarden, 1Password i KeePass rozwiązują problem, którego ta strona nie może rozwiązać, czyli zapamiętywanie haseł za Ciebie. Do sprawdzania wycieków punktem odniesienia jest Have I Been Pwned.