Как создаются пароли
Каждый символ выбирается независимо и равновероятно из того набора символов, который вы разрешили. Случайность берётся из криптографического генератора браузера crypto.getRandomValues, который опирается на источник энтропии операционной системы.
Одна деталь важнее, чем кажется. Если случайное 32-битное число сводить к нужному диапазону через остаток от деления, первые символы набора будут выпадать чуть чаще, потому что 2³² не делится нацело на размер набора. Генератор отбрасывает те немногие значения, которые дают такой перекос, и берёт число заново, поэтому у каждого символа действительно одинаковые шансы.
Наборы символов:
- Строчные
a-z: 26 символов. - Прописные
A-Z: 26 символов. - Цифры
0-9: 10 символов. - Спецсимволы: 27 символов,
!@#$%^&*()-_=+[]{};:,.<>?/~.
Если включить всё, в наборе 89 символов. Опция «Без похожих (Il1O0)» убирает I, l, 1, O и 0, и остаётся 84.
Пароли существуют только на странице. Любое изменение настроек сразу даёт новую подборку, и ничего не сохраняется и не отправляется.
Как читать показатель энтропии
Энтропия — это количество бит, которые злоумышленнику придётся угадать. Для случайного пароля она равна длине, умноженной на log₂ размера набора. Каждый дополнительный бит удваивает объём работы.
Несколько конкретных значений с индикатора:
- 4 цифры, то есть PIN-код: 13 бит.
- 8 строчных букв: 38 бит, оценка «Слабый».
- 12 символов из всех наборов: 78 бит, «Надёжный».
- 16 символов из всех наборов: 104 бита, «Отличный».
- 20 символов из всех наборов: 130 бит.
Оценка меняется на 40, 64 и 100 битах. Чтобы понять масштаб, представьте злоумышленника, который украл базу паролей и проверяет 10 миллиардов вариантов в секунду против быстрого хеша. 40-битный пароль в среднем падает меньше чем за две минуты. На 64-битный уйдут десятилетия. На 80-битный — больше миллиона лет.
Длина ценнее разнообразия. Если добавить спецсимволы в 16-символьный пароль, набор вырастет с 62 до 89 символов, а энтропия — примерно на 8 бит; если же удлинить тот же пароль на четыре символа, прибавится около 26 бит.
Показатель исходит из того, что пароль сгенерирован случайно, — здесь это так. О паролях, которые вы придумываете сами, он ничего не говорит: шаблоны, имена и даты делают их реальную энтропию гораздо ниже.
Если сайт не принимает пароль
Символы выбираются независимо, поэтому пароль не обязательно содержит хотя бы один символ каждого включённого типа. Если включены все четыре набора, в 16-символьном пароле примерно в 15% случаев не окажется ни одной цифры; отсутствие прописной буквы или спецсимвола случается намного реже 1% случаев. Если сайт требует цифру, просто возьмите другой пароль из подборки: поставьте «Сколько» на 5 или 10 и выберите тот, что подходит под правила.
Другие частые причины отказа:
- Слишком длинный. Некоторые банковские и старые системы ограничивают длину 12, 16 или 20 символами. Уменьшите длину ползунком.
- Запрещённые символы. Символы вроде
<,>,;или/иногда блокируются. Сгенерируйте несколько паролей и выберите без них — или отключите спецсимволы и добавьте 3–4 символа длины, чтобы компенсировать потерянную энтропию. - Ввод вручную. Для ключей Wi-Fi или кодов, которые диктуют вслух или набирают пультом от телевизора, включите «Без похожих (Il1O0)» и подумайте, не отказаться ли от спецсимволов.
Как правильно пользоваться сгенерированными паролями
Надёжный пароль помогает, только если он уникален. Именно повторное использование превращает утечку с одного сайта в доступ к вашей почте и банку.
- Храните сгенерированные пароли в менеджере паролей, а не в текстовом файле или заметках.
- Для мастер-пароля и почтового аккаунта берите 20 символов и больше: они открывают доступ ко всему остальному.
- Скопированный текст может остаться в истории буфера обмена на устройстве; очистите её, если компьютером пользуются другие люди.
- Пароль, которым нужно поделиться, — например, от архива, созданного в инструменте «Создать ZIP-архив», — отправляйте по другому каналу, не вместе с самим файлом.
Если нужно сообщить гостям пароль от Wi-Fi, распечатанный код из генератора QR-кодов избавит их от необходимости его набирать.