Секрети та докази
Інструменти, зібрані тут, здаються непов’язаними — доки не помітиш, що їх об’єднує.
Генератор паролів створює секрет, який ніхто не вгадає. Верифікатор жеребкування доводить, що результат, який ніхто не міг передбачити, так само й не був тихо підібраний заднім числом. Кожен із них — питання про випадковість: одне про те, як зберегти її в таємниці, інше про те, як довести, що вона була справжньою.
Друге питання — те, яке більшість сайтів обходять стороною. Розіграш, лотерея, розподіл змін: організатор знає, що жеребкування було чесним, а всім іншим залишається вірити йому на слово. Насіння (seed) плюс відбиток (fingerprint) перетворює «повірте мені» на те, що учасник може перевірити самостійно.
Що обрати
Створення облікового даного — пароль для входу, парольна фраза, яку доведеться вводити з пам’яті, числовий PIN або API-ключ для конфігураційного файлу. Усі чотири виходять з генератора паролів, який також показує ентропію та орієнтовний час злому, тож обрана довжина — це усвідомлений вибір, а не здогадка.
Перевірка чужого жеребкування — вставте сертифікат у верифікатор жеребкування. Він перераховує результат із насіння і порівнює відбиток. Якщо хоч щось не збігається, значить числа змінили після жеребкування.
Чому генерувати тут пароль — не суперечність
Отримувати пароль із сайту звучить як найгірший можливий спосіб його здобути. Зазвичай так і є: якщо значення згенероване на сервері, воно існувало на чужій машині ще до того, як з’явилось на вашій, і ви ніяк не можете дізнатися, що з ним там відбувалося.
Тут ніщо не генерується на сервері. Символи беруться з
crypto.getRandomValues() — API браузера, підкріпленого пулом ентропії вашої операційної
системи, тим самим джерелом, яке ваш браузер використовує для встановлення HTTPS. Сторінка
не робить жодного мережевого запиту, поки ви нею користуєтесь. Це можна перевірити,
відкривши вкладку «Мережа» в інструментах розробника, згенерувавши пароль і спостерігаючи, що нічого
не відбувається. Якщо ви не хочете вірити навіть цьому на слово, спершу від’єднайтеся від
мережі — інструмент продовжить працювати.
Чого ця категорія свідомо не містить
Тут немає перевірки надійності пароля, куди ви б вставляли вже наявний пароль. Вводити реальний пароль у веб-форму, щоб його «перевірили», — погана звичка незалежно від того, що обіцяє сайт, а генератор і так показує ентропію для паролів, які створює.
Тут немає перевірки на витік, менеджера паролів чи інструмента хешування. Для менеджера скористайтеся спеціалізованим — Bitwarden, 1Password і KeePass розв’язують проблему, яку цей сайт розв’язати не може, а саме — запам’ятовування паролів за вас. Для перевірки на витік Have I Been Pwned — правильний ресурс.