Инструмент 01 — Генератор парольных фраз
Бросайте кости.
Парольные фразы по методу Diceware и случайные пароли из криптографического генератора случайных чисел (CSPRNG) вашего браузера. Ничего не отправляется, не сохраняется и не записывается в журналы — этой странице даже не разрешено открывать сетевые соединения.
02 — Время взлома
Сколько продержится.
Среднее время до подбора — половина пространства ключей — при условии, что атакующий точно знает, как секрет был создан. Скорости — это порядки величин, а не бенчмарки.
03 — Не доверяй, проверяй
Ничего не уходит.
- connect-src 'none' CSP страницы запрещает любые fetch, XHR, WebSocket и beacon — даже к этому же домену.
- без хранения Никаких cookie, localStorage и IndexedDB. Настройки сбрасываются при перезагрузке — намеренно.
- CSPRNG
crypto.getRandomValuesс выборкой с отклонением (rejection sampling) — без смещения по модулю. - один origin На
passwd.entropywatch.devбольше ничего не работает; никакого стороннего кода.
- Пытается выбраться из песочницы и показывает, что заблокировал браузер.
04 — Почему это работает
Короткие ответы.
Что такое «биты энтропии»?
Число подбрасываний монеты (орёл или решка), которые атакующий должен угадать. Каждый дополнительный бит удваивает работу. Шесть слов из списка в 7776 слов дают 7776⁶ ≈ 2⁷⁷·⁵ вариантов — даже если атакующий знает список и метод.
Почему слова, а не X7#q!?
В пересчёте на символ случайные знаки несут больше энтропии, но слова легче набирать и запоминать. Длина важнее сложности: фразы в стиле correct-horse дают 70–90 бит без стикера на мониторе. Случайные пароли используйте там, где их за вас вводит менеджер паролей.
Сколько бит мне нужно?
Учётным записям, которые можно атаковать только онлайн, с ограничением попыток: 50+ более чем достаточно. Всему, чей хеш может утечь и быть атакован офлайн, — например, доменной учётной записи: 75+ (шесть слов). Мастер-паролю менеджера паролей, шифрованию диска или парольной фразе SSH-ключа: 90 (семь слов). Подробная версия с расчётами и тем, где в сети Windows происходят офлайн-атаки (на английском): How long should a passphrase be?
Стоит ли доверять в этом сайту?
Здоровая подозрительность. Поэтому эта страница не может выходить в сеть и умеет проверять себя. Ещё лучше: пользуйтесь ей офлайн (загрузите и отключите сеть) или бросайте настоящие кубики со списком EFF.
Почему слова английские?
Генератор использует английский список EFF Large Wordlist. Стойкость фразы зависит только от размера списка и случайного выбора, а не от языка: шесть слов из любого списка в 7776 слов дают те же 77,5 бита. Мы используем список EFF, потому что он опубликован, проверен другими и сверяется по контрольной сумме SHA-256.