Slik bruker du verktøyet
- Angi Lengde med glidebryteren eller tallfeltet. 16 tegn eller mer er et godt utgangspunkt for passord som lagres i en passordbehandler.
- Velg tegntypene: Store bokstaver, Små bokstaver, Sifre og Spesialtegn. «Bruk alle valgte typer» er slått på som standard og sørger for at hvert passord inneholder minst ett tegn av hver type.
- Ved behov bruker du Utelat lignende tegn (som l, 1 og O), Utelat tvetydige spesialtegn eller Utelat tegn for bestemte tegn som et nettsted avviser.
- Klikk på Generer, sjekk Styrke og entropien, og kopier deretter ett passord, eller alle med Kopier alle.
Hva som gjør et passord sterkt
For et tilfeldig generert passord måles styrken som entropi: length × log2(pool size) bit, altså lengden ganger log2 av størrelsen på tegnutvalget, settet med tegn passordet trekkes fra. Hver ekstra bit dobler antallet gjetninger som trengs. Lengden multipliserer entropien, mens et større utvalg bare gir litt mer per tegn, så lengden vinner: et passord på 16 små bokstaver har omtrent 11 millioner ganger flere muligheter enn et passord på 8 tegn som blander alle fire typene.
| Lengde | Tegn | Utvalg | Entropi |
|---|---|---|---|
| 4 | Sifre (en PIN-kode) | 10 | 13,3 bit |
| 8 | Små bokstaver | 26 | 37,6 bit |
| 8 | Alle fire typer | 89 | 51,8 bit |
| 12 | Bokstaver og sifre | 62 | 71,5 bit |
| 16 | Små bokstaver | 26 | 75,2 bit |
| 16 | Alle fire typer | 89 | 103,6 bit |
| 20 | Alle fire typer | 89 | 129,5 bit |
Alle fire typer gir her et utvalg på 89: 26 + 26 + 10 + 27 spesialtegn. Verktøyet viser entropien rundet ned til hele bit. Tallene gjelder bare for tilfeldige passord. Et passord som en person finner på selv, har langt mindre entropi enn lengden tilsier.
Hva NIST SP 800-63B anbefaler
NIST SP 800-63B, den amerikanske føderale retningslinjen for digital autentisering, retter seg mot tjenestene som kontrollerer passord. Den gjeldende revisjonen, SP 800-63B-4, sier at de:
- må kreve minst 15 tegn når passordet er den eneste faktoren, eller 8 tegn sammen med en annen faktor, og bør tillate minst 64 tegn;
- ikke må stille krav til sammensetning, som «én stor bokstav, ett siffer og ett spesialtegn», eller kreve periodiske passordbytter, men må tvinge frem et bytte når det finnes tegn på at passordet er kompromittert;
- må sjekke nye passord mot en blokkeringsliste over vanlige, forventede eller kompromitterte passord;
- bør godta alle utskrivbare ASCII-tegn og mellomrom, og tillate innliming slik at passordbehandlere fungerer.
For brukere er lærdommen den samme: lengde og tilfeldighet betyr noe, mens forutsigbare erstatninger som P@ssw0rd1 ikke gjør det.
Passordbehandlere og passordfraser
Et gjenbrukt passord er ofte en større risiko enn et kort passord: etter et datainnbrudd prøver angripere de lekkede kombinasjonene av e-postadresse og passord på andre nettsteder (credential stuffing). Bruk et eget tilfeldig passord for hver konto, og la en passordbehandler huske dem. Da krever et passord på 20 tegn ikke mer innsats enn et på 8.
For de få passordene du skriver inn etter hukommelsen, som hovedpassordet til passordbehandleren, er en passordfrase enklere: ord som er valgt tilfeldig, for eksempel med terninger og EFFs lange ordliste. Hvert ord fra listens 7 776 oppføringer gir omtrent 12,9 bit, så seks ord gir omtrent 77,5 bit. Dette verktøyet lager passord av tegn, ikke passordfraser. For API-nøkler og andre maskinhemmeligheter bruker du generatoren for tilfeldig Base64.
Slik fungerer denne generatoren
Passordene lages på enheten din med crypto.getRandomValues(), nettleserens kryptografisk sikre generator for tilfeldige tall, og blir aldri sendt eller lagret. En enkel modulo-operasjon ville gjort noen tegn litt mer sannsynlige enn andre, så verktøyet bruker forkastningsmetoden (rejection sampling): tilfeldige 32-biters verdier som er lik eller større enn det største multiplumet av utvalgsstørrelsen, trekkes på nytt, slik at alle tegn er nøyaktig like sannsynlige.
Utelat lignende tegn fjerner i l 1 L o 0 O, noe som er nyttig når et passord leses høyt eller skrives inn fra papir, som med Wi-Fi-nøkler. Utelat tvetydige spesialtegn fjerner alle typer parenteser, skråstreken, tilden og , ; : ., som enkelte skjemaer, skall og konfigurasjonsfiler håndterer dårlig, og lar ! @ # $ % ^ & * - _ = + ? stå igjen. Begge valgene gjør utvalget mindre, så legg til ett eller to tegn for å kompensere.
Ofte stilte spørsmål
Hvor langt bør et passord være?
Minst 15 tegn for en konto som bare er beskyttet av et passord, som er minimumet NIST SP 800-63B-4 setter for passord som eneste faktor. Med en passordbehandler koster 16 til 24 tilfeldige tegn deg ingenting. For passord du skriver inn ofte, kan du vurdere en passordfrase på fem eller seks tilfeldige ord.
Er det trygt å bruke et passord som er generert på et nettsted?
crypto.getRandomValues(), og passordene blir ikke overført, logget eller lagret. Kopier det du trenger, rett inn i passordbehandleren din.Hva betyr entropien i bit?
Det er logaritmen med grunntall 2 av antallet passord innstillingene dine kan lage. 80 bit betyr 2 opphøyd i 80 mulige passord, og hver ekstra bit dobler arbeidet med å gjette. Tallet beskriver hvordan passordet ble generert, så det gjelder bare for tilfeldige passord.
Bør jeg bytte passord jevnlig?
Ikke etter en fast plan. NIST SP 800-63B-4 sier at tjenester ikke skal tvinge frem periodiske bytter, fordi folk svarer med forutsigbare varianter. Bytt et passord når en tjeneste melder om et datainnbrudd, når passordet dukker opp i en lekkasje, eller når du mistenker at noen andre kjenner det.
Blir et passord sterkere av å kreve alle tegntyper?
Nei. Valget «Bruk alle valgte typer», som er slått på som standard, sørger bare for at nettsteder med krav til sammensetning godtar passordet. Verktøyet forkaster og lager nye passord når de mangler en valgt type. Det utelukker noen kombinasjoner og senker den reelle entropien litt, mest merkbart for korte passord, så tallet som vises, er en øvre grense. Større lengde er den beste måten å gjøre passordet sterkere på.