Gizli değerler ve kanıt
Burada listelenen araçlar, ne paylaştıklarını fark edene kadar ilgisiz görünür.
Şifre oluşturucu kimsenin tahmin edemeyeceği bir gizli değer üretir. Çekiliş doğrulayıcı ise kimsenin tahmin edemediği bir sonucun, olaydan sonra da sessizce değiştirilmediğini kanıtlar. Her ikisi de rastgelelikle ilgili bir soru — biri onu gizli tutmakla, diğeri gerçek olduğunu gösterebilmekle ilgili.
İkinci soru, çoğu sitenin atladığı sorudur. Bir çekiliş, bir piyango, vardiya dağıtımı: organizatör çekilişin dürüst olduğunu bilir, geri kalan herkes ise onun sözüne güvenmek zorundadır. Bir tohum artı bir parmak izi, “bana güvenin” sözünü katılımcının kendisinin kontrol edebileceği bir şeye dönüştürür.
Hangisine başvurmalı
Bir kimlik bilgisi oluşturma — bir giriş şifresi, ezbere yazmanız gereken bir parola cümlesi, sayısal bir PIN veya bir yapılandırma dosyası için bir API anahtarı. Dördü de entropiyi ve tahmini kırılma süresini de gösteren şifre oluşturucudan gelir, böylece seçtiğiniz uzunluk bir tahmin değil, bilinçli bir karar olur.
Başka birinin yürüttüğü bir çekilişi kontrol etme — sertifikayı çekiliş doğrulayıcıya yapıştırın. Sonucu tohumdan yeniden hesaplar ve parmak izini karşılaştırır. İkisi uyuşmuyorsa, sayılar çekilişten sonra değiştirilmiştir.
Burada şifre oluşturmanın neden bir çelişki olmadığı
Bir web sitesinden şifre almak, bir şifre edinmenin olabilecek en kötü yolu gibi görünür. Genellikle de öyledir: değer bir sunucuda oluşturuluyorsa, sizde var olmadan önce başka birinin makinesinde var olmuştur ve orada ona ne olduğunu bilmenizin hiçbir yolu yoktur.
Burada hiçbir şey bir sunucuda oluşturulmaz. Karakterler, işletim sisteminizin
entropi havuzuyla desteklenen tarayıcı API’si olan crypto.getRandomValues()’ten
gelir — tarayıcınızın HTTPS anlaşması için kullandığı kaynakla aynıdır. Sayfa,
siz kullanırken hiçbir ağ isteği yapmaz. Bunu geliştirici araçlarındaki ağ
sekmesini açıp bir şifre oluşturarak ve hiçbir şeyin olmadığını izleyerek
doğrulayabilirsiniz. Buna bile güvenmek istemiyorsanız, önce ağ bağlantınızı
kesin; araç çalışmaya devam eder.
Bu kategorinin bilerek içermediği şeyler
Mevcut bir şifreyi yapıştırdığınız bir şifre gücü denetleyicisi yoktur. Gerçek bir şifreyi “kontrol edilmesi” için bir web formuna yazmak, sitenin ne vaat ettiğinden bağımsız olarak kötü bir alışkanlıktır ve oluşturucu zaten kendi ürettiği şifreler için entropiyi gösterir.
İhlal sorgusu, şifre yöneticisi veya hashleme aracı yoktur. Bir yönetici için özel birini kullanın — Bitwarden, 1Password ve KeePass, bu sitenin çözemediği sorunu, yani şifreleri sizin için hatırlamayı çözer. İhlal kontrolü için referans Have I Been Pwned’dir.