Pembuat kata sandi

Apa yang membuat kata sandi kuat

Kekuatan berasal dari ketidakterdugaan, diukur dalam bit entropi. Kata sandi sepanjang L karakter yang dipilih acak dari alfabet berisi N karakter punya L × log₂(N) bit. Dengan keempat jenis karakter (76 karakter), setiap karakter menambah sekitar 6,2 bit, jadi 16 karakter memberi sekitar 100 bit dan 20 karakter sekitar 125 bit: jauh di atas kemampuan penyerang mana pun untuk mencoba, bahkan terhadap hash yang cepat.

Panjang lebih penting daripada kerumitan. Panduan NIST terbaru (SP 800-63B) menghapus aturan komposisi wajib dan penggantian berkala, dan meminta situs menerima kata sandi panjang. Cara paling praktis adalah memakai pengelola kata sandi yang membuat kata sandi unik 16–24 karakter untuk setiap situs.

Contoh

Dua puluh karakter dari huruf kecil, huruf besar, angka, dan 14 simbol di sini: 20 × log₂(76) ≈ 125 bit. Menebaknya dengan satu triliun percobaan per detik butuh waktu jauh lebih lama dari umur alam semesta. Sebagai perbandingan, PIN 6 digit punya kurang dari 20 bit.

Karakter yang mirip

Aktifkan hindari karakter mirip jika kata sandi akan dibacakan atau diketik dari kertas: opsi ini membuang I, l, 1, O, 0, dan o dengan sedikit pengurangan entropi.

Setiap karakter berasal dari crypto.getRandomValues, generator acak browser yang aman secara kriptografis. Untuk menghindari bias, halaman memakai rejection sampling: angka acak 32-bit yang akan menguntungkan karakter tertentu dibuang dan diambil ulang. Halaman lebih dulu mengambil satu karakter dari setiap jenis yang dipilih, mengisi sisanya dari gabungan alfabet, lalu mengacak hasilnya dengan algoritma Fisher–Yates dari sumber aman yang sama. Entropi yang ditampilkan adalah panjang × log₂(ukuran alfabet). Kata sandi hanya dibuat di browsermu dan tidak pernah dikirim, dicatat, atau disimpan.