Генератор паролей

Как считается

Каждый символ пароля выбирается случайно и равновероятно из алфавита — объединения выбранных типов символов. Стойкость пароля измеряется энтропией в битах:

Например, 16 символов из строчных, прописных букв и цифр (62 символа): 16 × log₂(62) = 95,3 бита. Даже при триллионе попыток в секунду перебор занял бы дольше возраста Вселенной. Пароль из 8 таких символов — 47,6 бита — на той же скорости подбирается примерно за 2 минуты.

Случайность берётся из криптографического генератора браузера (crypto.getRandomValues). Чтобы не было перекоса, лишние значения отбрасываются: для 62 символов порог — 4 294 967 292, всё, что выше, генерируется заново.

Как пользоваться генератором паролей

Генератор паролей создаёт пароль сразу при открытии страницы: по умолчанию это 16 символов из строчных и прописных букв, цифр и спецсимволов. Нажмите «Копировать», чтобы вставить пароль на сайте, или «Ещё», чтобы получить новый. Кнопки-пресеты подстраивают настройки под частые требования: генератор паролей 8 символов или 12 символов буквенно-цифровой, 16 символов со спецсимволами, 20 символов для Wi-Fi.

Если сайт запрещает какие-то спецсимволы, уберите их из поля «Набор спецсимволов». Флажок «Без похожих» исключает символы, которые легко перепутать при чтении: I, l, 1, O, 0, o. Для цифрового пароля откройте вкладку «PIN-код», а чтобы создать сразу пакет паролей (например, для сотрудников), укажите количество — до 100 штук списком, с кнопкой «Скачать .txt».

Какой пароль считается надёжным

Главное в пароле — длина и случайность, а не «сложность». Каждый дополнительный символ умножает число вариантов на размер алфавита, а добавление спецсимволов увеличивает алфавит всего с 62 до 75 символов. Поэтому 16 случайных букв и цифр надёжнее, чем 10 символов «со всем подряд». Мы оцениваем стойкость в битах энтропии: меньше 40 бит — слабый пароль, 40–59 — средний, 60–79 — хороший, от 80 — очень надёжный.

Время взлома показано для трёх сценариев: онлайн-атака на сайт с ограничением попыток (100 в секунду), офлайн-перебор медленного хеша вроде bcrypt (10 000 в секунду) и быстрого хеша вроде MD5 на ферме видеокарт (10¹² в секунду). Это оценка при условии, что пароль случайный, не утёк и не используется на других сайтах.

Сколько символов должно быть в пароле

Для обычных сайтов — не меньше 12 символов, для почты, банка и менеджера паролей — от 16, для Wi-Fi — от 20 (его вводят редко, а перебирают офлайн). Американский стандарт NIST SP 800-63B требует минимум 8 символов и рекомендует от 15 там, где нет второго фактора защиты.

Почему генерация безопасна

Пароль создаётся в вашем браузере функцией crypto.getRandomValues — тем же криптографическим генератором, который используется для ключей шифрования. Сайт не видит и не сохраняет пароль: он не передаётся на сервер, не попадает в адресную строку и в статистику. После загрузки страница работает даже без интернета.

Мы выбираем символы без «перекоса по модулю»: случайные значения, из-за которых первые символы алфавита выпадали бы чаще, отбрасываются. А если нужен каждый тип символов, генератор не вставляет «по одной цифре» в фиксированное место, а создаёт пароль целиком заново, пока условие не выполнится, — так распределение остаётся равномерным.

Фраза-пароль: длинный, но запоминаемый

Если пароль нужно помнить наизусть (например, от менеджера паролей или компьютера), удобнее фраза из случайных слов — метод diceware. Шесть слов из английского словаря EFF на 7 776 слов дают 77,5 бита — больше, чем 12 случайных символов, а запомнить их проще. Есть и русский словарь: слова кириллицей или набранные в английской раскладке («кошка» → «rjirf»), что удобно для сайтов, где нельзя вводить кириллицу. Русский словарь меньше английского, поэтому берите 6–8 слов.

Как хранить пароли

Не используйте один пароль на разных сайтах: при утечке одной базы под угрозой окажутся все аккаунты. Храните пароли в менеджере паролей, а запоминайте только один — от самого менеджера. Включите двухфакторную аутентификацию в почте, банке и соцсетях: даже если пароль узнают, без второго фактора войти не получится.

Английский словарь: EFF Large Wordlist, © Electronic Frontier Foundation, лицензия CC BY 3.0 US (eff.org/dice). Русский словарь составлен calctools.ru.