Generator de parole

Entropia măsoară aleatorietatea (imprevizibilitatea) unei parole în biți. Formula este L ori log2(N), unde L este lungimea, iar N este dimensiunea pool-ului de caractere.

• Utilizând doar litere mici (N=26): o parolă de 12 caractere are 56,4 biți de entropie.
• Adăugarea literelor mari (N=52): 68,4 biți.
• Adăugarea cifrelor (N=62): 71,5 biți.
• Adăugarea simbolurilor (N=94): 78,8 biți.

Praguri de securitate:

• sub 40 de biți este o parolă ușor de spart în câteva minute;
• 40-60 de biți rezistă la atacurile online, dar cedează în fața atacurilor offline;
• 60-80 de biți este puternică pentru majoritatea scopurilor;
• peste 80 de biți este foarte puternică;
• peste 128 de biți este imposibil de spart de către orice tehnologie previzibilă.

Trecerea de la 12 la 16 caractere cu un set complet de caractere crește valoarea de la 78,8 la 105,1 biți — făcând-o de aproximativ 78 de milioane de ori mai greu de spart. Ac Acesta este motivul pentru care NIST și experții în securitate pun accent pe lungime în detrimentul complexității.

Atacatorii folosesc mai multe strategii dincolo de simpla forță brută.

• Atacurile bazate pe dicționar încearcă cuvinte și fraze obișnuite — parola „sunshine” cade instantaneu în ciuda faptului că are 8 caractere.
• Umplerea cu credențiale (credential stuffing) folosește parole din breșe de date anterioare (peste 10 miliarde de parole scurse sunt disponibile public).
• Atacurile bazate pe reguli modifică cuvintele din dicționar cu înlocuiri obișnuite (@ pentru a, 3 pentru e, ! la sfârșit) — „P@ssw0rd!” se numără printre primele tipare încercate.
• Atacurile cu tabele curcubeu folosesc hash-uri precalculate pentru parole obișnuite.

Doar parolele cu adevărat aleatorii generate dintr-o sursă sigură din punct de vedere criptografic rezistă la toate aceste atacuri.

Parolele alese de oameni au un bias previzibil — oamenii favorizează anumite litere, modele și poziții pentru caracterele speciale. Studiile arată că parolele generate de oameni au o medie de doar 20-30 de biți de entropie efectivă, chiar și atunci când par complexe, comparativ cu 79-105 biți pentru parolele aleatorii generate de mașini de aceeași lungime.

Generarea de parole puternice este doar jumătate din soluție — gestionarea lor în siguranță este la fel de importantă.

• Folosește un manager de parole dedicat (1Password, Bitwarden, KeePass sau managerul încorporat al browserului tău) pentru a stoca parole unice pentru fiecare cont. Persoana obișnuită are 70-100 de conturi online, ceea ce face ca memorarea să fie imposibilă fără reutilizare.
• Activează autentificarea cu doi factori (2FA) pentru toate conturile care o acceptă — nici măcar o parolă compromisă nu poate acorda acces fără al doilea factor. Prioritizează cheile de securitate hardware (YubiKey, Google Titan) sau aplicațiile de autentificare (Google Authenticator, Authy) în detrimentul 2FA bazat pe SMS, care este vulnerabil la schimbul de SIM (SIM swapping).
• Pentru parola principală a managerului tău de parole, folosește o frază secretă lungă formată din 4-6 cuvinte aleatorii (de exemplu, „correct horse battery staple”) — acest lucru este mai ușor de reținut decât un șir aleatoriu, oferind în același timp 50-80 de biți de entropie.
• Schimbă parolele imediat după orice notificare de breșă și verifică site-ul haveibeenpwned.com în mod regulat.

Un generator de parole aleatorii construiește o parolă selectând caractere în mod aleatoriu dintr-un pool ales (litere mari, litere mici, cifre, simboluri) folosind o sursă de aleatorietate.

Generatoarele sigure, inclusiv acesta, folosesc un generator de numere pseudo-aleatorii sigur din punct de vedere criptografic (CSPRNG) expus de browser — crypto.getRandomValues() din API-ul Web Crypto — în loc de previzibilul Math.random(). Atât NIST SP 800-63B, cât și OWASP subliniază că imprevizibilitatea este ceea ce face ca un secret să reziste la ghicire.

Fiecare caracter este extras în mod independent, astfel încât să nu se strecoare niciun model, cuvânt din dicționar sau bias uman. Deoarece generarea are loc în întregime pe partea clientului (client-side), parola nu părăsește niciodată dispozitivul tău, iar indicatorul de putere raportează entropia în biți, astfel încât să poți evalua rezultatul înainte de a-l utiliza.

Alege mai întâi lungimea: este cel mai puternic element pentru securitate. NIST SP 800-63B recomandă un minimum de 8 caractere și acceptă parole de până la cel puțin 64, iar majoritatea experților sugerează 12-16 caractere pentru conturile de zi cu zi și peste 20 pentru cele cu valoare ridicată, cum ar fi e-mailul, serviciile bancare și credențialele principale ale managerului de parole.

Activează cât mai multe tipuri de caractere pe care le permite site-ul — litere mari, litere mici, numere și simboluri — pentru a extinde pool-ul de la 26 la 94 de caractere. Dacă un site respinge simbolurile, adaugă lungime în schimb pentru a menține entropia la un nivel ridicat.

Ca regulă generală, o parolă aleatorie cu o valoare de peste 60 de biți de entropie rezistă la atacurile offline, iar peste 80 de biți este foarte puternică. Folosește valoarea afișată a entropiei pentru a confirma că ai depășit aceste praguri.

Un generator de parole este util oriunde ai nevoie de un secret unic și imposibil de ghicit. Utilizările comune includ:

• crearea de parole noi pentru conturi online nou-create,
• înlocuirea parolelor slabe sau reutilizate semnalate de un manager de parole,
• generarea de chei pentru rețele Wi-Fi,
• crearea de chei API sau credențiale de baze de date pentru dezvoltatori,
• generarea de parole temporare la înregistrarea utilizatorilor.

Deoarece atât CISA, cât și OWASP recomandă o parolă unică pentru fiecare cont, un generator asociat cu un manager de parole îți permite să urmezi acest sfat fără a fi nevoie să memorezi nimic.

Echipele folosesc, de asemenea, parole generate pentru conturi de servicii partajate și pentru rotirea credențialelor după o suspiciune de breșă. Pentru frazele secrete pe care trebuie să le tastajezi din memorie, o abordare cu mai multe cuvinte ți s-ar putea potrivi mai bine decât un șir aleatoriu, dar pentru secretele stocate o parolă aleatorie lungă este ideală.

Cea mai dăunătoare greșeală este reutilizarea aceleiași parole pe mai multe site-uri, deoarece o singură breșă de securitate deblochează apoi numeroase conturi — o tehnică pe care atacatorii o automatizează prin intermediul umplerii cu credențiale.

Alte erori frecvente includ:

• bazarea pe înlocuiri previzibile (P@ssw0rd!),
• adăugarea unui număr sau a unui an la un cuvânt din dicționar,
• folosirea numelor, zilelor de naștere sau a secvențelor de pe tastatură cum ar fi qwerty,
• alegerea unor parole scurte, de sub 12 caractere.

Mulți oameni acordă, de asemenea, o încredere excesivă resetărilor periodice forțate; NIST SP 800-63B sfătuiește acum împotriva rotației obligatorii arbitrare și recomandă în schimb schimbarea parolei numai atunci când există dovezi ale unuicompromis.

Nu stoca parolele în notițe în text simplu sau în foi de calcul și nu le partaja niciodată prin canale necriptate. Evitarea acestor greșeli contează mai mult decât adăugarea unui singur simbol în plus la o parolă care este deja aleatorie.

Timpul de spargere depinde de entropie și de rata de ghicire a atacatorului, nu de un singur simbol. Pentru un atac offline împotriva unui hash rapid și slab protejat, un adversar capabil ar putea încerca de la miliarde la trilioane de ghiciri pe secundă folosind plăci grafice (GPU).

• O parolă aleatorie de 8 caractere cu toate tipurile de caractere (~52 biți) poate ceda în ore sau zile la acele viteze,
• în timp ce una de 12 caractere (~78 biți) împinge căutarea medie spre milioane de ani,
• iar una de 16 caractere (~105 biți) este practic imposibil de spart prin forță brută.

Cu toate acestea, atacurile reale apelează rar la forța brută pentru parolele generate aleatoriu — ele exploatează reutilizarea, phishingul și bazele de date scurse. Acesta este motivul pentru care OWASP recomandă hashingul lent și cu „sare” (salted) al parolelor pe partea serverului, ceea ce reduce drastic rata de ghicire a atacatorului. Tratează cifrele privind timpul de spargere ca pe un ghid de ordin de mărime, nu ca pe niște garanții.

Ambele pot fi sigure; alegerea potrivită depinde de faptul că vei memora secretul sau îl vei stoca.

• O parolă cu caractere aleatorii conține o entropie mare în puține caractere, fiind ideală pentru orice lucru pe care un manager de parole îl păstrează pentru tine.
• O frază secretă (passphrase) — mai multe cuvinte neregulate înșirate împreună — ajunge la o rezistență comparabilă, dar este mult mai ușor de tastat și de reținut, motiv pentru care se potrivește pentru parola principală a managerului tău de parole sau pentru autentificarea pe dispozitiv.

Puterea oricărei variante provine din aleatorietate: cuvintele trebuie alese în mod aleatoriu dintr-o listă mare, nu alese de o persoană, altfel entropia se prăbușește. NIST SP 800-63B încurajează în mod explicit frazele secrete lungi, ușor de reținut, și descurajează regulile care le blochează.

Pentru majoritatea oamenilor, cea mai bună strategie este o frază secretă aleatorie memorată care protejează un seif plin de parole aleatorii generate.

Da, atunci când instrumentul se generează local și utilizează o sursă aleatorie criptografică adecvată. Acest generator rulează în întregime în browserul tău prin intermediul Web Crypto API, așa că parola nu este niciodată transmisă sau înregistrată de vreun server — poți chiar să te deconectezi de la internet și va funcționa în continuare.

Principalele riscuri în cazul oricărui generator țin de mediu, nu de matematică:

• malware sau keyloggeri pe dispozitivul tău,
• privitul peste umăr (shoulder-surfing),
• sau un site compromis, neîntreținut, care livrează cod manipulat.

Pentru a fi în siguranță, folosește instrumente actualizate și de încredere prin HTTPS, evită calculatoarele publice sau partajate pentru parole sensibile și lipește parolele generate direct într-un manager de parole de încredere, în loc să le trimiți prin email sau SMS. Ghidurile CISA și OWASP se concentrează pe aceste obiceiuri operaționale, deoarece o parolă matematică puternică este la fel de sigură ca dispozitivul și canalul care o gestionează.

Cel mai mare pericol din lumea reală nu este aleatoriul slab, ci repetiția. Atunci când un site suferă o breșă de securitate, datele de autentificare scurse sunt colectate în liste masive și utilizate împotriva altor servicii în campanii automate de umplere cu credențiale (credential stuffing); miliarde de perechi nume de utilizator-parolă circulă deja în mod public.

Dacă reutilizezi o parolă, o singură breșă veche poate avea un efect de domino asupra contului tău de email, bancar și de social media. Atât CISA, cât și OWASP recomandă un set unic de credențiale pentru fiecare cont, tocmai pentru a limita acest impact în lanț.

Verifică-ți adresele pe un serviciu de încredere pentru notificarea breșelor, iar dacă o parolă apare în vreo scurgere de date, înlocuiește-o imediat cu una nouă și unică, generată pe loc, și activează autentificarea multifactorială. Parolele unice și aleatorii fac ca breșele să fie ușor de depășit: un atacator care sparge una obține acces la exact un cont și nimic mai mult.