Generator haseł

Jak korzystać z generatora haseł

1. Ustaw Długość – od 4 do 128 znaków. Dla większości kont dobrym wyborem jest 16 znaków lub więcej.
2. Wybierz zestawy znaków: Wielkie litery (A–Z), Małe litery (a–z), Cyfry (0–9) i Symbole (!#$%…).
3. Jeśli kiedykolwiek będziesz musiał przeczytać lub przepisać hasło ręcznie, włącz Wyklucz mylące znaki, aby pominąć podobne do siebie znaki, takie jak 0 O o 1 l I |.
4. Zostaw włączone Użyj co najmniej jednego znaku z każdego zestawu, jeśli serwis narzuca reguły dotyczące składu hasła.
5. W polu Ile haseł wybierz, ile haseł wygenerować (do 50), sprawdź Szacowaną entropię i ocenę siły, a potem skopiuj wybrane hasło do menedżera haseł.

Jak to narzędzie generuje hasła

Każdy znak jest wybierany przez kryptograficznie bezpieczny generator liczb losowych przeglądarki, crypto.getRandomValues, będący częścią Web Crypto API. W przeciwieństwie do Math.random() jest on zaprojektowany tak, aby jego wyników nie dało się przewidzieć, nawet gdy ktoś widział wcześniejsze wartości.

Uczciwe losowanie znaków jest trudniejsze, niż się wydaje. Naiwne podejście – wzięcie losowej liczby i obliczenie reszty z dzielenia przez rozmiar zestawu znaków – wprowadza obciążenie modulo: niektóre znaki pojawiają się nieco częściej niż inne. To narzędzie całkowicie unika tego obciążenia, więc każdy dozwolony znak ma dokładnie takie samo prawdopodobieństwo.

Wszystko dzieje się na twoim urządzeniu. Hasła nigdy nie są przesyłane przez sieć, zapisywane ani logowane. Gdy zamkniesz lub odświeżysz stronę, znikają.

Co oznacza szacowana entropia

Entropia, mierzona w bitach, wyraża, ile prób atakujący musiałby wykonać w najgorszym przypadku. Dla losowo wygenerowanego hasła oblicza się ją jako długość pomnożoną przez log₂ liczby możliwych znaków. Każdy dodatkowy bit podwaja pracę atakującego.

• 12-znakowe hasło tylko z małych liter (26 znaków) ma około 56 bitów.
• 16-znakowe hasło ze wszystkich czterech zestawów (około 90 znaków lub więcej) ma około 104 bitów.
• 20-znakowe hasło z tymi samymi zestawami przekracza 130 bitów.

Orientacyjnie: poniżej 50 bitów to za mało dla konta internetowego, 60–80 bitów to poziom rozsądny, a 100 bitów i więcej to hasło bardzo silne, nawet wobec łamania offline wykradzionej bazy haseł. Wykluczenie mylących znaków nieco zmniejsza pulę, więc szacunek trochę spada; dodaj jeden lub dwa znaki, aby to zrównoważyć. Szacunek dotyczy haseł losowo utworzonych w tym narzędziu; nic nie mówi o hasłach wymyślonych samodzielnie, które zwykle są znacznie słabsze, niż sugeruje ich długość.

Generator używa wyłącznie znaków ASCII. Polskie litery, takie jak ą, ę czy ł, nie są dodawane, bo wiele serwisów i klawiatur sprawia z nimi problemy.

Porady, które naprawdę pomagają

• Długość wygrywa ze złożonością. Dodawanie znaków zwiększa entropię szybciej niż dodawanie kolejnych rodzajów symboli. Aktualne zalecenia, np. NIST SP 800-63B, kładą nacisk na długość i odradzają arbitralne reguły składu oraz wymuszoną okresową zmianę hasła.
• Korzystaj z menedżera haseł. Może przechowywać długie, losowe i inne hasło dla każdego serwisu, więc musisz pamiętać tylko jedno silne hasło główne.
• Nigdy nie używaj tego samego hasła ponownie. Gdy jeden serwis zostanie zhakowany, atakujący próbują tego samego adresu e-mail i hasła wszędzie indziej. Unikalne hasła skutecznie zatrzymują taki atak (credential stuffing).
• Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie to możliwe, najlepiej z aplikacją uwierzytelniającą, kluczem bezpieczeństwa lub kluczem dostępu (passkey), a nie SMS-em.
• Zmieniaj hasło, gdy jest ku temu powód, na przykład po wycieku danych, a nie według sztywnego harmonogramu.