Generador de contrasenyes

Com utilitzar el generador de contrasenyes

1. Defineix la longitud, entre 4 i 128 caràcters. Per a la majoria de comptes, 16 o més és una bona opció.
2. Selecciona els conjunts de caràcters que vols incloure: lletres majúscules, lletres minúscules, dígits i símbols.
3. Si alguna vegada has de llegir o escriure la contrasenya a mà, activa exclou els caràcters ambigus per deixar de banda els que s’assemblen, com 0 O o 1 l I |.
4. Deixa activada l’opció inclou almenys un caràcter de cada conjunt si un lloc web aplica regles de composició.
5. Tria quantes contrasenyes vols generar (fins a 50), consulta l’entropia estimada i l’etiqueta de fortalesa, i copia la que vulguis al teu gestor de contrasenyes.

Com genera les contrasenyes aquesta eina

Cada caràcter es tria amb el generador de números aleatoris criptogràficament segur del navegador, crypto.getRandomValues, que forma part de l’API Web Crypto. A diferència de Math.random(), està dissenyat perquè la seva sortida no es pugui predir, ni tan sols per algú que n’hagi vist valors anteriors.

Triar els caràcters de manera justa és més difícil del que sembla. L’enfocament ingenu de prendre un número aleatori i calcular-ne el mòdul respecte a la mida del conjunt de caràcters introdueix un biaix de mòdul: alguns caràcters surten una mica més sovint que d’altres. Aquesta eina evita completament el biaix de mòdul, de manera que cada caràcter permès té exactament la mateixa probabilitat.

Tot passa al teu dispositiu. Les contrasenyes no s’envien mai per la xarxa, no es desen mai i no es registren mai. Quan tanques o recarregues la pàgina, desapareixen.

Com s’interpreta l’entropia estimada

L’entropia, mesurada en bits, expressa quants intents necessitaria un atacant en el pitjor dels casos. Per a una contrasenya generada aleatòriament es calcula com la longitud multiplicada pel log₂ del nombre de caràcters possibles. Cada bit addicional duplica la feina de l’atacant.

• Una contrasenya de 12 caràcters que només utilitza lletres minúscules (26 caràcters) té uns 56 bits.
• Una contrasenya de 16 caràcters que utilitza els quatre conjunts (aproximadament 90 caràcters o més) té uns 104 bits.
• Una contrasenya de 20 caràcters amb els mateixos conjunts supera els 130 bits.

Com a guia aproximada, tot el que és inferior a 50 bits és feble per a un compte en línia, de 60 a 80 bits és raonable, i 100 bits o més és molt fort, fins i tot davant d’un atac fora de línia contra una base de dades de contrasenyes filtrada. Excloure els caràcters ambigus redueix una mica el conjunt de caràcters, de manera que l’estimació baixa lleugerament; afegeix un o dos caràcters per compensar-ho. L’estimació s’aplica a les contrasenyes creades aquí a l’atzar; no diu res de les contrasenyes que t’inventes tu mateix, que solen ser molt més febles del que suggereix la seva longitud.

Consells sobre contrasenyes que de debò ajuden

• La longitud guanya a la complexitat. Afegir caràcters fa pujar l’entropia més de pressa que afegir tipus de símbols. Les recomanacions actuals, com la NIST SP 800-63B, posen l’accent en la longitud i desaconsellen les regles de composició arbitràries i els canvis periòdics obligatoris.
• Utilitza un gestor de contrasenyes. Pot desar una contrasenya llarga, aleatòria i diferent per a cada lloc, de manera que només has de recordar una sola frase de pas mestra i forta.
• No reutilitzis mai les contrasenyes. Quan es vulnera un lloc, els atacants proven el mateix correu electrònic i la mateixa contrasenya a tots els altres llocs. Les contrasenyes úniques ho aturen en sec.
• Activa l’autenticació multifactor sempre que sigui possible, preferiblement amb una aplicació d’autenticació, una clau de seguretat o una clau d’accés (passkey) en lloc de SMS.
• Canvia una contrasenya quan hi hagi un motiu, per exemple després d’una filtració, i no segons un calendari arbitrari.