Ежедневное вдохновение
Дизайнерское мастерство каждый день.
Работы, отобранные жюри A' Design Award, представленные каждое утро.
Надёжный. Случайный. Генерируется полностью в вашем браузере. Сервер никогда не видит результат.
Надёжность пароля — это число. Клод Шеннон формализовал это в 1948 году как информационную энтропию, измеряемую в битах. Каждый бит удваивает количество возможных комбинаций, которые атакующий должен перебрать. Пароль, случайно составленный из 76 символов (заглавные, строчные буквы, цифры и 14 специальных символов), несёт примерно 6,25 бита энтропии на символ. Таким образом, 16-символьный пароль содержит около 100 бит энтропии: 2100 возможных комбинаций — число из 31 цифры.
Практическое следствие — экспоненциальный рост. 20-символьный пароль из этого генератора содержит примерно 125 бит энтропии, а значит, атакующему потребуется перебрать около 1037 комбинаций, чтобы гарантированно его найти. При триллионе попыток в секунду ожидаемое время поиска превышает текущий возраст Вселенной в миллиарды раз. Длина — определяющий фактор. Добавление четырёх символов даёт больше для безопасности, чем переход от буквенного набора к буквенно-цифровому.
Добавление одного символа к случайному паролю умножает пространство поиска на 76. Добавление четырёх символов умножает его на 764, что составляет примерно 33 миллиона. Именно это экспоненциальное масштабирование делает длину гораздо важнее хитрых подстановок. Замена «a» на «@» в пароле, придуманном человеком, добавляет практически ноль энтропии, потому что атакующие уже включают такие подстановки в свои словари. Добавление четырёх по-настоящему случайных символов даёт 25 бит энтропии. Двадцать пять бит означают, что атакующему потребуется в 33 миллиона раз больше времени для перебора пространства.
Специальная публикация NIST 800-63B от 2024 года рекомендует отдавать приоритет длине пароля, а не правилам сложности. Исследования, лежащие в основе этого руководства, показали, что требования сложности (одна заглавная буква, одна цифра, один спецсимвол) порождают предсказуемые шаблоны: Password1! удовлетворяет каждому правилу и при этом встречается в миллионах баз скомпрометированных учётных данных. Абсолютно случайная 16-символьная строка не подчиняется ни одному человеческому шаблону, потому что в ней их просто нет. Этот генератор гарантирует наличие всех четырёх классов символов в каждом пароле, а затем перемешивает позиции тем же криптографическим источником случайности, так что ни одна позиция не предсказуема.
Каждый символ вашего пароля создаётся функцией crypto.getRandomValues() — Web Cryptography API, специфицированным W3C. Эта функция извлекает энтропию из аппаратных источников вашего устройства: теплового шума, джиттера электрических сигналов и других физических процессов, основанных на квантовой неопределённости. Результат проходит строгие статистические тесты, включая NIST SP 800-22 и TestU01.
Гарантия идёт глубже самого алгоритма. Это тот же источник энтропии, который генерирует сессионные ключи для вашего онлайн-банкинга, эфемерные ключи каждого HTTPS-соединения и векторы инициализации в зашифрованных мессенджерах. Производители браузеров неустанно проверяют эту реализацию, потому что уязвимость здесь скомпрометировала бы каждое защищённое соединение в интернете. Ваш пароль наследует всю эту цепочку гарантий.
Исследователи из Университета Карнеги-Меллон проанализировали миллионы реальных паролей из баз утечек и обнаружили характерную закономерность. Пароли, придуманные людьми, группируются вокруг нескольких тысяч типичных структур: имена с годами, словарные слова с предсказуемыми подстановками, клавиатурные последовательности вроде qwerty123. Эти шаблоны снижают эффективную энтропию до 20–40 бит вне зависимости от номинальной длины, потому что атакующие строят словари именно на основе таких шаблонов.
Машинно-сгенерированный пароль полностью исключает человеческий фактор. Каждая позиция символа заполняется независимо из всего набора символов с равномерным распределением вероятности. Нет шаблона для эксплуатации, нет словаря для поиска, нет психологической тенденции для предсказания. Единственная оставшаяся атака — полный перебор всего пространства ключей, а математика экспоненциального роста делает такой перебор невозможным при любой разумной длине пароля.
Панель анализа надёжности выше отображает оценки времени взлома в реальном времени для трёх скоростей атаки. Сценарий онлайн-атаки (1 000 попыток в секунду) представляет веб-сервис с ограничением частоты запросов. Сценарий мощного оборудования (10 миллиардов в секунду) представляет оптимизированный GPU-кластер для взлома офлайн-хешей. Государственный сценарий (1 триллион в секунду) представляет теоретический максимум с выделенной инфраструктурой. При 100 битах энтропии даже государственный сценарий требует примерно 4 × 1018 лет. Солнце исчерпает свой запас водорода примерно через 5 миллиардов лет. Ваш пароль переживёт Солнечную систему.
Энтропия паролей — доступная точка входа в теорию информации. Предложите учащимся перейти на /password/8 и отметить энтропию, затем перейти на /password/16 и убедиться, что энтропия ровно удвоилась. Каждый добавленный символ вносит фиксированное количество бит. Эта линейная зависимость между длиной и энтропией порождает экспоненциальную зависимость между длиной и безопасностью — концепцию, которую учащиеся могут проверить, сравнивая оценки времени взлома для разных длин.
Для более глубокого упражнения сравните пароли dice83 с парольными фразами diceware. Парольная фраза из шести слов несёт около 77 бит энтропии. Случайный пароль из 12 символов — около 75 бит. Оба достигают сходной безопасности через совершенно разные механизмы: парольная фраза использует большой набор (7 776 слов) с малым количеством выборов; пароль использует меньший набор (76 символов) с большим количеством выборов. Компромисс — запоминаемость против абсолютной надёжности, и понимание этого компромисса учит студентов тому, как на самом деле работает энтропия. Инструмент работает полностью в браузере, не требует учётных записей и не хранит данные учащихся.
Каждый пароль, сгенерированный на этой странице, существует только внутри вашего браузера. Сервер доставляет HTML, CSS и JavaScript, составляющие инструмент. Генерацию выполняет ваше устройство. Ни на каком этапе ни один пароль, частичный пароль или данные, связанные с паролем, не передаются по сети. Единственная постоянная запись пароля — это то место, куда вы решите его вставить после копирования.
Делиться URL инструмента абсолютно безопасно. Отправив кому-то ссылку /password/20, вы даёте им тот же генератор с той же конфигурацией. Их браузер создаёт полностью независимые пароли из собственного источника энтропии. URL содержит спецификацию инструмента. Секрет хранит ваше устройство.
Введите любую длину прямо в адресную строку:
Отправляйте инструмент, а не пароль. Каждый посетитель генерирует свой собственный.
Ежедневное вдохновение
Работы, отобранные жюри A' Design Award, представленные каждое утро.
