Tajne, i dokaz
Alati sabrani ovde deluju nepovezano dok ne primetite šta im je zajedničko.
Generator lozinki pravi tajnu koju niko ne može da pogodi. Verifikator izvlačenja dokazuje da rezultat koji niko nije mogao da predvidi takođe nije naknadno tiho izabran. Svaki od njih odgovara na pitanje o nasumičnosti — jedan o njenom čuvanju u tajnosti, drugi o mogućnosti da se dokaže da je bila stvarna.
To drugo pitanje je ono koje većina sajtova preskače. Nagradna igra, žrebanje, raspodela smena: organizator zna da je izvlačenje bilo pošteno, a svi ostali moraju da mu veruju na reč. Seme (seed) plus otisak pretvara “verujte mi” u nešto što učesnik može sam da proveri.
Šta izabrati
Pravljenje kredencijala — lozinka za prijavu, fraza koju morate ukucati iz sećanja, numerički PIN ili API ključ za konfiguracioni fajl. Sve četiri dolaze iz generatora lozinki, koji takođe prikazuje entropiju i procenjeno vreme probijanja, tako da dužina koju izaberete bude informisana odluka, a ne nagađanje.
Provera izvlačenja koje je neko drugi sproveo — nalepite sertifikat u verifikator izvlačenja. On ponovo izračunava rezultat iz semena i upoređuje otisak. Ako se ne poklapaju, brojevi su promenjeni posle izvlačenja.
Zašto generisanje lozinke ovde nije protivrečno
Preuzimanje lozinke sa sajta zvuči kao najgori mogući način da je dobijete. Obično i jeste: ako se vrednost generiše na serveru, postojala je na tuđoj mašini pre nego što je postala vaša, i nemate način da saznate šta se tamo sa njom dešavalo.
Ovde se ništa ne generiše na serveru. Znakovi dolaze iz
crypto.getRandomValues(), API-ja pretraživača koji se oslanja na izvor
entropije vašeg operativnog sistema — isti izvor koji vaš pretraživač koristi
za pregovaranje HTTPS veze. Stranica ne pravi nijedan mrežni zahtev dok je
koristite. To možete sami da proverite otvaranjem kartice Mreža u razvojnim
alatima, generisanjem lozinke i posmatranjem da se ništa ne dešava. Ako ne
želite ni to da uzmete na veru, prvo se isključite sa mreže — alat i dalje
radi.
Šta ova kategorija namerno ne sadrži
Ne postoji provera jačine lozinke u koju biste nalepili postojeću lozinku. Kucanje prave lozinke u veb formu radi “provere” je loša navika bez obzira šta sajt obećava, a generator već prikazuje entropiju za lozinke koje sam pravi.
Nema pretrage curenja podataka, nema menadžera lozinki i nema alata za heš. Za menadžera koristite namenski — Bitwarden, 1Password i KeePass rešavaju problem koji ovaj sajt ne može, a to je da lozinke pamte umesto vas. Za proveru curenja podataka, Have I Been Pwned je referenca.