Hur man genererar oknäckbara lösenord (och varför onlinegeneratorer är riskabla)

Vi känner alla till reglerna: använd en blandning av versaler, siffror och symboler. Använd inte "password123". Men i takt med att datorkraften ökar och AI-drivna brute-force-attacker blir mer sofistikerade, ändras reglerna för vad som utgör ett "säkert" lösenord.

Entropins kraft

I kryptografi mäts lösenordsstyrkan i entropi. Den beräknar hur många möjliga kombinationer en angripare skulle behöva gissa för att knäcka lösenordet. De två faktorerna som definierar entropi är längden på lösenordet och poolen av tecken som används.

Ett lösenord på 16 tecken som helt består av små bokstäver är faktiskt exponentiellt svårare att knäcka än ett lösenord på 8 tecken fyllt med siffror och symboler. Längd överträffar komplexitet.

Den dolda faran med molnlösenordsgeneratorer

Om du Google "lösenordsgenerator" hittar du hundratals webbplatser som erbjuder dig att skapa en säker sträng. Det finns dock ett grundläggande fel med de flesta av dem: de genererar lösenordet på sin backend-server och skickar det till din webbläsare.

Varför är det här dåligt?

• Serverloggar: Servern som genererar lösenordet kan logga det. Om den databasen hackas avslöjas ditt "säkra" lösenord innan du ens använder det.
• Nätverksavlyssning: Även över HTTPS innebär det onödiga risker att skicka klartextlösenord över internet.
• Spårning: Skadliga webbplatser kan knyta det genererade lösenordet till din IP-adress och den specifika webbplats du försöker komma åt.

Lösningen på klientsidan

Det enda riktigt säkra sättet att använda en webbaserad lösenordsgenerator är om den fungerar 100 % på klientsidan. Detta innebär att du använder JavaScripts crypto.getRandomValues() API direkt i din webbläsare.

När du skapar ett lösenord på klientsidan skickas ingen data över nätverket. Lösenordet föds på din maskin och stannar på din maskin, vilket säkerställer absolut kryptografisk integritet.