Generatore di password
Funziona sul tuo dispositivo. Nulla viene inviato.Tutto avviene sul tuo dispositivo. Nulla di ciò che generi viene mai inviato altrove.
Robustezza
Molto forte103.4 bit di entropiaTempo di violazione stimato: 205 Mld secoli
Genera password casuali robuste e passphrase memorizzabili, con una stima dell'entropia e del tempo di violazione in tempo reale, interamente nel tuo browser.
La vera robustezza di una password deriva dalla sua entropia - quante password possibili un attaccante dovrebbe provare prima di indovinare la tua - che dipende sia dalla lunghezza sia da quanti caratteri diversi potrebbero comparire in ogni posizione. Questo strumento genera password crittograficamente casuali (tramite la Web Crypto API, non Math.random()) o passphrase basate su parole, e mostra l'entropia reale e una stima approssimativa del tempo di violazione per ciò che generi, così i compromessi sono visibili invece di essere nascosti dietro un'etichetta vaga come forte o debole. Nulla viene generato su un server o inviato altrove.
Domande frequenti
Dovrei usare una password casuale o una passphrase?
Entrambe sono valide, e le linee guida NIST 2024 sull'identità digitale favoriscono esplicitamente la lunghezza rispetto a regole di complessità forzate. Una password casuale concentra più entropia per carattere, ideale quando un gestore di password la ricorderà al posto tuo. Una passphrase - diverse parole casuali concatenate - scambia un po' di entropia per carattere con qualcosa che una persona può davvero memorizzare e digitare, importante per le password principali o per tutto ciò che digiti a memoria.
Cosa significano realmente i bit di entropia?
Ogni bit di entropia aggiuntivo raddoppia il numero di tentativi che un attaccante dovrebbe fare per provare ogni possibilità. Una password con 40 bit di entropia ha circa mille miliardi di combinazioni possibili; una con 80 bit ne ha circa mille miliardi di volte mille miliardi. Le linee guida sulla sicurezza generalmente considerano 80 bit o più come eccellenti per tutto ciò che non può essere protetto da limitazione dei tentativi o blocchi, come una chiave di crittografia o la password principale di un gestore.
Come viene calcolata la stima del tempo di violazione?
Presuppone un attaccante con accesso offline a un hash di password, che tenta circa 10 miliardi di tentativi al secondo - un'approssimazione grezza di un cluster GPU moderno. Vuole comunicare l'ordine di grandezza, non una previsione precisa: il tempo di violazione reale dipende molto dall'algoritmo di hashing usato dal sistema bersaglio, che questo strumento non ha modo di conoscere.
Perché escludere caratteri ambigui come l, 1, I, O e 0?
Sono facili da confondere se letti ad alta voce, scritti a mano o mostrati in certi font. Escluderli scambia una piccola quantità di entropia con una password meno soggetta a errori quando digitata da uno schermo o da un foglio di carta - utile per le password che devi inserire manualmente invece di incollare da un gestore.
Il generatore casuale potrebbe favorire alcuni caratteri rispetto ad altri?
No - utilizza il campionamento per rifiuto basato su crypto.getRandomValues() invece di una semplice operazione modulo. Prendere un byte casuale e calcolare byte % dimensionePool darebbe ai caratteri vicini all'inizio del pool una probabilità leggermente migliore ogni volta che la dimensione del pool non divide esattamente 256, quindi il generatore scarta invece qualsiasi valore fuori intervallo e ne estrae un altro finché il risultato non cade in un intervallo divisibile esattamente. Il risultato è che ogni carattere ha esattamente la stessa probabilità di essere scelto, indipendentemente da quanti tipi di carattere attivi.
Perché una password casuale include sempre almeno un carattere per ogni tipo che ho attivato?
Dopo aver costruito il pool di caratteri, il generatore mette da parte un carattere per ogni categoria attivata - maiuscole, minuscole, numeri, simboli - prima di riempire il resto della lunghezza dall'intero pool, quindi mescola tutto in un ordine casuale. Questo garantisce che la password non finisca per essere accidentalmente composta solo da lettere senza numeri, il che conta perché molti siti rifiutano una password a cui manca un tipo di carattere richiesto anche se il pool ne includeva uno. Il passaggio di mescolamento usa la stessa selezione casuale non distorta, quindi i caratteri garantiti non finiscono in posizioni prevedibili.