Så använder du verktyget
- Ställ in Längd med skjutreglaget eller sifferfältet. 16 tecken eller fler är ett bra standardval för lösenord som sparas i en lösenordshanterare.
- Välj teckentyper: Versaler, Gemener, Siffror och Specialtecken. "Använd alla valda teckentyper" är påslaget som standard och ser till att varje lösenord innehåller minst ett tecken av varje typ.
- Slå vid behov på Uteslut liknande tecken (till exempel l, 1 och O) eller Uteslut tvetydiga specialtecken, eller ange under Uteslut tecken enskilda tecken som en webbplats inte godtar.
- Klicka på Generera, kontrollera styrkan och entropin och kopiera sedan ett enskilt lösenord, eller alla på en gång med Kopiera alla.
Vad som gör ett lösenord starkt
För ett slumpmässigt genererat lösenord mäts styrkan som entropi: length × log2(pool size) bitar, där poolen är den mängd tecken som lösenordet dras ur. Varje extra bit fördubblar antalet gissningar som krävs. Längden multiplicerar entropin, medan en större pool bara tillför lite per tecken, så längden vinner: ett lösenord på 16 gemener har ungefär 11 miljoner gånger fler möjligheter än ett på 8 tecken som blandar alla fyra typerna.
| Längd | Tecken | Pool | Entropi |
|---|---|---|---|
| 4 | Siffror (en pinkod) | 10 | 13,3 bitar |
| 8 | Gemener | 26 | 37,6 bitar |
| 8 | Alla fyra typerna | 89 | 51,8 bitar |
| 12 | Bokstäver och siffror | 62 | 71,5 bitar |
| 16 | Gemener | 26 | 75,2 bitar |
| 16 | Alla fyra typerna | 89 | 103,6 bitar |
| 20 | Alla fyra typerna | 89 | 129,5 bitar |
Med alla fyra typerna blir poolen här 89 tecken: 26 + 26 + 10 + 27 specialtecken. Verktyget visar entropin avrundad nedåt till hela bitar. Siffrorna gäller bara slumpmässiga lösenord; ett lösenord som en människa hittar på har betydligt lägre entropi än längden antyder.
Vad NIST SP 800-63B rekommenderar
NIST SP 800-63B, de amerikanska federala riktlinjerna för digital autentisering, vänder sig till de tjänster som kontrollerar lösenord. Den aktuella versionen, SP 800-63B-4, säger att de:
- måste kräva minst 15 tecken när lösenordet är den enda faktorn, eller 8 tecken tillsammans med en annan faktor, och bör tillåta minst 64 tecken;
- inte får ställa krav på sammansättning som "en versal, en siffra och ett specialtecken" och inte heller kräva regelbundna byten, men måste tvinga fram ett byte när det finns tecken på att lösenordet har röjts;
- måste kontrollera nya lösenord mot en spärrlista med vanliga, förväntade eller röjda lösenord;
- bör godta alla utskrivbara ASCII-tecken och mellanslag samt tillåta inklistring, så att lösenordshanterare fungerar.
För användare är lärdomen densamma: längd och slumpmässighet spelar roll, men förutsägbara utbyten som P@ssw0rd1 gör det inte.
Lösenordshanterare och lösenfraser
Ett återanvänt lösenord är ofta en större risk än ett kort: efter ett dataintrång provar angripare de läckta kombinationerna av e-postadress och lösenord på andra webbplatser (credential stuffing). Använd ett eget slumpmässigt lösenord för varje konto och låt en lösenordshanterare komma ihåg dem; då kräver ett lösenord på 20 tecken inte mer ansträngning än ett på 8.
För de få lösenord som du skriver ur minnet, till exempel huvudlösenordet till lösenordshanteraren, är en lösenfras enklare: ord som väljs slumpmässigt, till exempel med tärningar och EFF:s långa ordlista. Varje ord ur listans 7 776 poster bidrar med ungefär 12,9 bitar, så sex ord ger ungefär 77,5 bitar. Det här verktyget skapar lösenord av tecken, inte lösenfraser; för API-nycklar och andra hemligheter som används av maskiner använder du generatorn för slumpmässig Base64.
Så fungerar generatorn
Lösenorden skapas på din enhet med crypto.getRandomValues(), webbläsarens kryptografiskt säkra slumptalsgenerator, och skickas eller sparas aldrig. En enkel modulooperation skulle göra vissa tecken något vanligare, så verktyget använder förkastande sampling (rejection sampling): 32-bitars slumpvärden som är lika med eller större än den största multipeln av poolens storlek dras om, och varje tecken blir exakt lika sannolikt.
Uteslut liknande tecken tar bort i l 1 L o 0 O, vilket är praktiskt när ett lösenord läses upp eller skrivs av från papper, som med Wi-Fi-nycklar. Uteslut tvetydiga specialtecken tar bort parenteser av alla slag, snedstrecket, tilden och , ; : ., som vissa formulär, skal och konfigurationsfiler hanterar dåligt, och kvar blir ! @ # $ % ^ & * - _ = + ?. Båda alternativen krymper poolen, så lägg till ett eller två tecken för att kompensera.
Vanliga frågor
Hur långt bör ett lösenord vara?
Minst 15 tecken för ett konto som bara skyddas av ett lösenord, vilket är det minimum som NIST SP 800-63B-4 anger för lösenord som enda faktor. Med en lösenordshanterare kostar 16 till 24 slumpmässiga tecken dig ingenting. För lösenord som du skriver ofta kan du överväga en lösenfras med fem eller sex slumpmässiga ord.
Är det säkert att använda ett lösenord som har genererats på en webbplats?
crypto.getRandomValues(), och lösenorden varken överförs, loggas eller sparas. Kopiera det lösenord du behöver direkt till din lösenordshanterare.Vad betyder entropin i bitar?
Det är logaritmen med bas 2 av antalet lösenord som dina inställningar kan ge. 80 bitar betyder 2 upphöjt till 80 möjliga lösenord, och varje extra bit fördubblar arbetet med att gissa. Värdet beskriver hur lösenordet genererades, så det gäller bara slumpmässiga lösenord.
Bör jag byta lösenord regelbundet?
Inte enligt ett fast schema. NIST SP 800-63B-4 säger att tjänster inte ska tvinga fram regelbundna byten, eftersom människor då svarar med förutsägbara varianter. Byt ett lösenord när en tjänst rapporterar ett intrång, när lösenordet dyker upp i en läcka eller när du misstänker att någon annan känner till det.
Blir ett lösenord starkare om alla teckentyper krävs?
Nej. Alternativet, som är påslaget som standard, ser bara till att webbplatser med krav på sammansättning godtar lösenordet. Verktyget kasserar och genererar om lösenord som saknar en vald teckentyp, vilket utesluter vissa kombinationer och sänker den verkliga entropin något, mest märkbart för korta lösenord, så det värde som visas är en övre gräns. Att öka längden är ett bättre sätt att göra lösenordet starkare.