مولّد كلمات المرور
يعمل على جهازك. لا يُرسل أي شيء.كل شيء يحدث على جهازك الخاص. لا شيء تنشئه يُرسل إلى أي مكان أبدًا.
القوة
قوية جدًا103.4 بت من الإنتروبياالوقت المقدّر للاختراق: 205 مليار قرون
أنشئ كلمات مرور عشوائية قوية وعبارات مرور يسهل تذكرها، مع تقدير حي للإنتروبيا ووقت الاختراق، كل ذلك داخل متصفحك.
تأتي القوة الحقيقية لكلمة المرور من إنتروبيتها - عدد كلمات المرور المحتملة التي يجب على المهاجم تجربتها قبل تخمين كلمتك - وهذا يعتمد على الطول وعلى عدد الأحرف المختلفة التي يمكن أن تظهر في كل موضع. تُنشئ هذه الأداة كلمات مرور عشوائية تشفيريًا (عبر واجهة Web Crypto API، وليس Math.random()) أو عبارات مرور قائمة على الكلمات، وتعرض الإنتروبيا الفعلية وتقديرًا تقريبيًا لوقت الاختراق لما تنشئه، بحيث تكون المقايضات مرئية بدلًا من إخفائها خلف تصنيف غامض مثل قوية أو ضعيفة. لا يُنشأ أي شيء على خادم ولا يُرسل إلى أي مكان.
الأسئلة الشائعة
هل يجب أن أستخدم كلمة مرور عشوائية أم عبارة مرور؟
كلاهما مقبول، وتفضّل إرشادات NIST لعام 2024 بشأن الهوية الرقمية الطول صراحة على قواعد التعقيد الإلزامية. تركّز كلمة المرور العشوائية إنتروبيا أكبر لكل حرف، وهذا مثالي عندما يتذكّرها مدير كلمات المرور نيابة عنك. أما عبارة المرور - عدة كلمات عشوائية مرتبطة معًا - فتستبدل القليل من الإنتروبيا لكل حرف بشيء يمكن للإنسان فعلًا تذكّره وكتابته، وهذا مهم لكلمات المرور الرئيسية أو أي شيء تكتبه عن ظهر قلب.
ماذا تعني بتات الإنتروبيا فعليًا؟
كل بت إضافي من الإنتروبيا يضاعف عدد المحاولات التي يحتاجها المهاجم لتجربة كل احتمال. تمتلك كلمة مرور بإنتروبيا 40 بت نحو تريليون تركيبة محتملة؛ وتلك التي بإنتروبيا 80 بت تمتلك نحو تريليون ضرب تريليون. تعتبر إرشادات الأمان عمومًا أن 80 بت أو أكثر ممتازة لأي شيء لا يمكن حمايته بتحديد المحاولات أو الإغلاق، مثل مفتاح تشفير أو كلمة المرور الرئيسية لمدير كلمات المرور.
كيف يُحسب تقدير وقت الاختراق؟
يفترض مهاجمًا لديه وصول غير متصل إلى تجزئة كلمة مرور، يحاول نحو 10 مليارات محاولة في الثانية - تقريب تقريبي لمجموعة معالجات رسومية حديثة. الهدف هو إيصال مرتبة الحجم، لا تنبؤًا دقيقًا: يعتمد وقت الاختراق الفعلي بشكل كبير على خوارزمية التجزئة التي يستخدمها النظام المستهدف، وهو أمر لا تملك هذه الأداة وسيلة لمعرفته.
لماذا يتم استبعاد الأحرف الملتبسة مثل l وI 1 وO و0؟
من السهل الخلط بينها عند قراءتها بصوت عالٍ، أو كتابتها بخط اليد، أو عرضها بخطوط معينة. استبعادها يستبدل قدرًا صغيرًا من الإنتروبيا بكلمة مرور أقل عرضة للأخطاء عند كتابتها من شاشة أو ورقة - وهذا مفيد لكلمات المرور التي تحتاج إلى إدخالها يدويًا بدلًا من لصقها من مدير كلمات المرور.
هل يمكن أن يفضّل المولّد العشوائي بعض الأحرف على غيرها؟
لا - فهو يستخدم أخذ العينات بالرفض (rejection sampling) فوق crypto.getRandomValues() بدلاً من عملية باقي القسمة البسيطة. أخذ بايت عشوائي وحساب bайت % حجم_المجموعة سيمنح الأحرف القريبة من بداية المجموعة فرصة أفضل قليلاً جدًا كلما لم يقسم حجم المجموعة 256 بالتساوي، لذا يتجاهل المولّد بدلاً من ذلك أي قيمة خارج النطاق ويسحب مجددًا حتى تقع النتيجة في نطاق يُقسم بالتساوي. والنتيجة أن كل حرف له نفس الاحتمال تمامًا ليتم اختياره، بغض النظر عن عدد أنواع الأحرف التي تفعّلها.
لماذا تتضمن كلمة المرور العشوائية دائمًا حرفًا واحدًا على الأقل من كل نوع حرف قمت بتفعيله؟
بعد بناء مجموعة الأحرف، يخصّص المولّد حرفًا واحدًا من كل فئة قمت بتفعيلها - أحرف كبيرة، أحرف صغيرة، أرقام، رموز - قبل ملء بقية الطول من المجموعة الكاملة، ثم يخلط كل شيء بترتيب عشوائي. هذا يضمن ألا تنتهي كلمة المرور عن طريق الخطأ بأحرف فقط دون أي رقم، وهذا مهم لأن العديد من المواقع ترفض كلمة مرور ينقصها نوع حرف مطلوب حتى لو كانت المجموعة تحتويه. تستخدم خطوة الخلط نفس الاختيار العشوائي غير المتحيز، لذا لا تنتهي الأحرف المضمونة في مواضع يمكن التنبؤ بها.