Hvordan man genererer uncrackable adgangskoder (og hvorfor onlinegeneratorer er risikable)

Vi kender alle reglerne: brug en blanding af store bogstaver, tal og symboler. Brug ikke "password123". Men efterhånden som computerkraften øges, og AI-drevne brute-force-angreb bliver mere sofistikerede, ændres reglerne for, hvad der udgør en "sikker" adgangskode.

Entropiens magt

I kryptografi måles adgangskodestyrken i entropi. Den beregner, hvor mange mulige kombinationer en angriber skal gætte for at knække adgangskoden. De to faktorer, der definerer entropi, er længden af ​​adgangskoden og den anvendte pulje af tegn.

En adgangskode på 16 tegn udelukkende lavet af små bogstaver er faktisk eksponentielt sværere at knække end en adgangskode på 8 tegn fyldt med tal og symboler. Længde overtrumfer kompleksitet.

Den skjulte fare ved cloud-adgangskodegeneratorer

Hvis du Google "adgangskodegenerator", vil du finde hundredvis af websteder, der tilbyder at oprette en sikker streng for dig. Der er dog en grundlæggende fejl med de fleste af dem: de genererer adgangskoden på deres backend-server og sender den til din browser.

Hvorfor er det slemt?

• Serverlogfiler: Serveren, der genererer adgangskoden, logger muligvis den. Hvis databasen er hacket, bliver din "sikre" adgangskode afsløret, før du overhovedet bruger den.
• Netværksaflytning: Selv over HTTPS indebærer det unødvendige risici at sende almindelige tekstadgangskoder over internettet.
• Sporing: Ondsindede websteder kan knytte den genererede adgangskode til din IP-adresse og det specifikke websted, du forsøger at få adgang til.

Løsningen på klientsiden

Den eneste virkelig sikre måde at bruge en webbaseret adgangskodegenerator på er, hvis den fungerer 100 % på klientsiden. Det betyder, at du bruger JavaScripts crypto.getRandomValues() API direkte i din browser.

Når du genererer en adgangskode på klientsiden, sendes ingen data på tværs af netværket. Adgangskoden er født på din maskine og forbliver på din maskine, hvilket sikrer absolut kryptografisk privatliv.