Question 1

Dovrei usare una password casuale o una passphrase?

Accepted Answer

Entrambe sono valide, e le linee guida NIST 2024 sull'identità digitale favoriscono esplicitamente la lunghezza rispetto a regole di complessità forzate. Una password casuale concentra più entropia per carattere, ideale quando un gestore di password la ricorderà al posto tuo. Una passphrase - diverse parole casuali concatenate - scambia un po' di entropia per carattere con qualcosa che una persona può davvero memorizzare e digitare, importante per le password principali o per tutto ciò che digiti a memoria.

Question 2

Cosa significano realmente i bit di entropia?

Accepted Answer

Ogni bit di entropia aggiuntivo raddoppia il numero di tentativi che un attaccante dovrebbe fare per provare ogni possibilità. Una password con 40 bit di entropia ha circa mille miliardi di combinazioni possibili; una con 80 bit ne ha circa mille miliardi di volte mille miliardi. Le linee guida sulla sicurezza generalmente considerano 80 bit o più come eccellenti per tutto ciò che non può essere protetto da limitazione dei tentativi o blocchi, come una chiave di crittografia o la password principale di un gestore.

Question 3

Come viene calcolata la stima del tempo di violazione?

Accepted Answer

Presuppone un attaccante con accesso offline a un hash di password, che tenta circa 10 miliardi di tentativi al secondo - un'approssimazione grezza di un cluster GPU moderno. Vuole comunicare l'ordine di grandezza, non una previsione precisa: il tempo di violazione reale dipende molto dall'algoritmo di hashing usato dal sistema bersaglio, che questo strumento non ha modo di conoscere.

Question 4

Perché escludere caratteri ambigui come l, 1, I, O e 0?

Accepted Answer

Sono facili da confondere se letti ad alta voce, scritti a mano o mostrati in certi font. Escluderli scambia una piccola quantità di entropia con una password meno soggetta a errori quando digitata da uno schermo o da un foglio di carta - utile per le password che devi inserire manualmente invece di incollare da un gestore.

Question 5

Il generatore casuale potrebbe favorire alcuni caratteri rispetto ad altri?

Accepted Answer

No - utilizza il campionamento per rifiuto basato su crypto.getRandomValues() invece di una semplice operazione modulo. Prendere un byte casuale e calcolare byte % dimensionePool darebbe ai caratteri vicini all'inizio del pool una probabilità leggermente migliore ogni volta che la dimensione del pool non divide esattamente 256, quindi il generatore scarta invece qualsiasi valore fuori intervallo e ne estrae un altro finché il risultato non cade in un intervallo divisibile esattamente. Il risultato è che ogni carattere ha esattamente la stessa probabilità di essere scelto, indipendentemente da quanti tipi di carattere attivi.

Question 6

Perché una password casuale include sempre almeno un carattere per ogni tipo che ho attivato?

Accepted Answer

Dopo aver costruito il pool di caratteri, il generatore mette da parte un carattere per ogni categoria attivata - maiuscole, minuscole, numeri, simboli - prima di riempire il resto della lunghezza dall'intero pool, quindi mescola tutto in un ordine casuale. Questo garantisce che la password non finisca per essere accidentalmente composta solo da lettere senza numeri, il che conta perché molti siti rifiutano una password a cui manca un tipo di carattere richiesto anche se il pool ne includeva uno. Il passaggio di mescolamento usa la stessa selezione casuale non distorta, quindi i caratteri garantiti non finiscono in posizioni prevedibili.

Tarayıcınız güncel değil

Generatore di password

Domande frequenti