ความปลอดภัย

ความลับ และการพิสูจน์

เครื่องมือที่รวมไว้ในหมวดนี้ดูเหมือนไม่เกี่ยวข้องกัน จนกว่าคุณจะสังเกตเห็นสิ่งที่พวกมันมีร่วมกัน

เครื่องสร้างรหัสผ่าน สร้างความลับที่ ไม่มีใครเดาได้ ตัวตรวจสอบการจับสลาก พิสูจน์ว่าผลลัพธ์ ที่ไม่มีใครทำนายได้นั้นก็ไม่ได้ถูกเลือกอย่างเงียบๆ ภายหลังด้วยเช่นกัน ทั้งสองอย่างคือ คำถามเกี่ยวกับความสุ่ม — คำถามหนึ่งเกี่ยวกับการเก็บมันเป็นความลับ อีกคำถามเกี่ยวกับการสามารถ พิสูจน์ว่ามันเป็นของจริง

คำถามที่สองนี่แหละที่เว็บไซต์ส่วนใหญ่มองข้าม การแจกของรางวัล การจับฉลาก การจัดสรร กะงาน — ผู้จัดรู้ว่าการจับสลากนั้นซื่อสัตย์ แต่คนอื่นทุกคน ต้องเชื่อคำพูดของเขา seed บวกกับลายนิ้วมือดิจิทัลเปลี่ยน “เชื่อผมสิ” ให้กลายเป็น สิ่งที่ผู้เข้าร่วมตรวจสอบได้ด้วยตัวเอง

จะเลือกใช้อันไหน

สร้างข้อมูลรับรอง — รหัสผ่านสำหรับล็อกอิน วลีรหัสผ่านที่ต้องพิมพ์จาก ความจำ PIN ตัวเลข หรือ API key สำหรับไฟล์คอนฟิก ทั้งสี่แบบมาจาก เครื่องสร้างรหัสผ่าน ซึ่งยังแสดง เอนโทรปีและเวลาที่ประเมินไว้สำหรับการเจาะ ทำให้ความยาวที่คุณเลือกเป็นทางเลือก ที่มีข้อมูลรองรับแทนที่จะเป็นการเดา

ตรวจสอบการจับสลากที่คนอื่นทำ — วางใบรับรองลงใน ตัวตรวจสอบการจับสลาก มันจะคำนวณผลลัพธ์ใหม่จาก seed และเทียบกับลายนิ้วมือดิจิทัล หากไม่ตรงกัน แสดงว่าตัวเลขถูกเปลี่ยนหลังจาก การจับสลาก

ทำไมการสร้างรหัสผ่านที่นี่จึงไม่ใช่เรื่องขัดแย้ง

การดึงรหัสผ่านจากเว็บไซต์ฟังดูเหมือนวิธีที่แย่ที่สุดในการหามัน โดยทั่วไปก็เป็นเช่นนั้นจริงๆ: หากค่านั้นถูกสร้างบนเซิร์ฟเวอร์ มันก็เคยอยู่บนเครื่อง ของคนอื่นก่อนที่จะมาอยู่บนเครื่องคุณ และคุณไม่มีทางรู้ว่า เกิดอะไรขึ้นกับมันที่นั่น

ไม่มีอะไรถูกสร้างบนเซิร์ฟเวอร์ที่นี่ ตัวอักษรมาจาก crypto.getRandomValues() ซึ่งเป็น API ของเบราว์เซอร์ที่อาศัยกลุ่มเอนโทรปีของ ระบบปฏิบัติการคุณ — แหล่งเดียวกับที่เบราว์เซอร์ใช้เจรจา HTTPS หน้าเว็บนี้ ไม่มีการเรียกเครือข่ายใดๆ ขณะที่คุณใช้งาน คุณสามารถยืนยันได้ด้วยการเปิด แท็บเครือข่ายในเครื่องมือนักพัฒนา สร้างรหัสผ่าน แล้วดูว่าไม่มีอะไร เกิดขึ้น หากคุณไม่อยากเชื่อแม้แต่ตรงนั้น ให้ตัดการเชื่อมต่อเครือข่ายก่อน เครื่องมือก็ยังทำงานต่อไปได้

สิ่งที่หมวดนี้จงใจไม่รวมไว้

ไม่มีเครื่องตรวจสอบความแข็งแกร่งของรหัสผ่านที่ให้คุณวางรหัสผ่านที่มีอยู่แล้วลงไป การพิมพ์รหัสผ่านจริงลงในฟอร์มเว็บเพื่อให้ “ตรวจสอบ” เป็นนิสัยที่ไม่ดีไม่ว่า เว็บไซต์จะสัญญาอะไรก็ตาม และเครื่องสร้างก็แสดงเอนโทรปีของ รหัสผ่านที่มันสร้างอยู่แล้ว

ไม่มีเครื่องมือค้นหาข้อมูลรั่วไหล ไม่มีตัวจัดการรหัสผ่าน และไม่มีเครื่องมือแฮช สำหรับตัวจัดการ ให้ใช้เครื่องมือเฉพาะทาง — Bitwarden, 1Password และ KeePass ล้วนแก้ปัญหาที่เว็บไซต์นี้ ทำไม่ได้ นั่นคือการจดจำรหัสผ่านแทนคุณ สำหรับการตรวจสอบข้อมูลรั่วไหล Have I Been Pwned คือแหล่งอ้างอิงที่ควรใช้