Секреты и доказательства
Инструменты в этом разделе кажутся никак не связанными, пока не заметишь, что у них общего.
Генератор паролей создаёт секрет, который никто не сможет угадать. Верификатор жеребьёвок доказывает, что результат, который никто не мог предсказать, также не был тихо подобран задним числом. Оба отвечают на вопрос о случайности — один о том, как её сохранить в тайне, другой о том, как доказать, что она была настоящей.
Этот второй вопрос — как раз тот, который пропускает большинство сайтов. Розыгрыш, лотерея, распределение смен: организатор знает, что жеребьёвка была честной, а всем остальным приходится верить ему на слово. Сид плюс отпечаток превращают «поверьте мне» в то, что участник может проверить сам.
Что выбрать
Создать учётные данные — пароль для входа, кодовую фразу, которую нужно вводить по памяти, числовой PIN или API-ключ для конфигурационного файла. Все четыре вида создаёт генератор паролей, который также показывает энтропию и оценочное время взлома, так что выбранная длина — осознанное решение, а не догадка.
Проверить чужую жеребьёвку — вставьте сертификат в верификатор жеребьёвок. Он пересчитывает результат из сида и сравнивает отпечаток. Если что-то не совпадает, числа были изменены после розыгрыша.
Почему генерация пароля здесь — не противоречие
Получать пароль с сайта звучит как худший возможный способ его получить. Обычно так и есть: если значение генерируется на сервере, оно существовало на чужой машине до того, как попало на вашу, и вы никак не можете узнать, что с ним там произошло.
Здесь ничего не генерируется на сервере. Символы берутся из
crypto.getRandomValues(), браузерного API, опирающегося на пул энтропии вашей операционной системы — тот же источник, который браузер использует для установления HTTPS-соединений. Страница
не делает ни одного сетевого запроса, пока вы ею пользуетесь. Убедиться в этом можно, открыв
вкладку «Сеть» в инструментах разработчика, сгенерировав пароль и увидев, что ничего не
произошло. Если вы не готовы поверить даже этому на слово, сначала отключитесь от
сети — инструмент продолжит работать.
Чего в этой категории намеренно нет
Здесь нет проверки надёжности пароля, куда нужно было бы вставить существующий пароль. Вводить настоящий пароль в веб-форму для «проверки» — плохая привычка независимо от обещаний сайта, а генератор уже показывает энтропию для создаваемых им паролей.
Здесь нет проверки утечек, менеджера паролей и инструмента хеширования. Для менеджера используйте специализированный — Bitwarden, 1Password и KeePass решают задачу, которую этот сайт решить не может: запоминать пароли за вас. Для проверки утечек Have I Been Pwned — эталонный сервис.