Hvordan generere passord som ikke kan knekkes (og hvorfor nettgeneratorer er risikabelt)

Vi kjenner alle reglene: bruk en blanding av store bokstaver, tall og symboler. Ikke bruk "password123". Men etter hvert som datakraften øker og AI-drevne brute-force-angrep blir mer sofistikerte, endres reglene for hva som utgjør et "sikkert" passord.

Entropiens kraft

I kryptografi måles passordstyrken i entropi. Den beregner hvor mange mulige kombinasjoner en angriper må gjette for å knekke passordet. De to faktorene som definerer entropi er lengden på passordet og mengden av tegn som brukes.

Et passord på 16 tegn som utelukkende består av små bokstaver er faktisk eksponentielt vanskeligere å knekke enn et passord på åtte tegn fullpakket med tall og symboler. Lengde trumfer kompleksitet.

Den skjulte faren ved skypassordgeneratorer

Hvis du Googler "passordgenerator", vil du finne hundrevis av nettsteder som tilbyr å lage en sikker streng for deg. Imidlertid er det en grunnleggende feil med de fleste av dem: de genererer passordet på deres backend-server og sender det til nettleseren din.

Hvorfor er dette ille?

• Serverlogger: Serveren som genererer passordet, kan logge det. Hvis databasen er hacket, blir ditt "sikre" passord avslørt før du i det hele tatt bruker det.
• Nettverksavskjæring: Selv over HTTPS introduserer sending av klartekstpassord over internett unødvendig risiko.
• Sporing: Ondsinnede nettsteder kan knytte det genererte passordet til IP-adressen din og det spesifikke nettstedet du prøver å få tilgang til.

Løsningen på klientsiden

Den eneste virkelig sikre måten å bruke en nettbasert passordgenerator på er hvis den fungerer 100 % på klientsiden. Dette betyr å bruke JavaScripts crypto.getRandomValues() API direkte i nettleseren din.

Når du genererer et passord på klientsiden, sendes ingen data over nettverket. Passordet er født på maskinen din og forblir på maskinen din, noe som sikrer absolutt kryptografisk personvern.