Generátor heslové fráze

Jak se výsledek počítá

1. Slova se losují z kryptografického zdroje náhody vašeho prohlížeče (crypto.getRandomValues). Každé slovo se vybírá se stejnou pravděpodobností z celého seznamu a losování, které by některá slova zvýhodnilo, se zahazuje.
2. Slova se losují nezávisle, takže se může stejné slovo objevit dvakrát. Díky tomu jsou všechny fráze stejně pravděpodobné a jejich počet je přesně velikost seznamu na počet slov.
3. Síla v bitech je dvojkový logaritmus tohoto počtu, takže každé slovo přidá stejně bitů: log2 velikosti seznamu (11 bitů u 2 048 slov, asi 12,9 u 7 776). Vylosovaná číslice přidá asi 3,3 bitu. Oddělovač a velká písmena nepřidají nic, protože jsou pokaždé stejné.
4. Doba uhodnutí je polovina všech možností (průměr) vydělená počtem pokusů, které útočník zvládne za sekundu, stejně jako u generátoru hesel.
5. Pásma síly jsou naše, ne norma: pod 60 bitů slabé, od 60 do 100 bitů dobré, od 100 bitů velmi silné.

Předpoklady a omezení

• Síla platí jen pro frázi vytvořenou tímto generátorem, ne pro frázi, kterou jste si vybrali nebo ručně upravili, a předpokládá útočníka, který zná seznam i vaše nastavení.
• Používáme jen seznamy slov s veřejným zdrojem a volnou licencí: angličtinu (EFF) a češtinu, španělštinu a francouzštinu (BIP-39). Další jazyky přibudou, až bude seznam, který umíme ověřit.
• Rychlosti jsou testy jedné grafické karty. Útočník může použít karet mnoho a služba může používat pomalejší hash nebo omezit počet pokusů, takže skutečná doba může být kratší i mnohem delší.
• Generátor nezjišťuje, jestli fráze neuniklo, a nezná pravidla konkrétního webu, třeba nejvyšší povolenou délku.
• Útoky na člověka (phishing, škodlivý software) v číslech nejsou a silná fráze před nimi nechrání.

Rychlost online (10 pokusů za sekundu) je náš příklad. Rychlosti offline jsou zveřejněné testy: MD5 215,8 GH/s a bcrypt 255,3 kH/s na jedné kartě NVIDIA RTX 5090 (hashcat v6.2.6). Seznamy slov jsou EFF Large Wordlist (angličtina) a seznamy BIP-39 (čeština, španělština, francouzština).

Zdroje dat a období, pro které platí

Každé číslo, ze kterého kalkulačka vychází nebo se kterým začíná, pochází z jednoho ze zdrojů níže. Názvy řad uvádíme tak, jak je pojmenoval vydavatel. U každého řádku je období, ke kterému se data vztahují, a tam, kde si ho zaznamenáváme, den stažení. Oficiální data bývají v době zveřejnění stará i několik měsíců, proto si před rozhodnutím ověřte aktuální hodnotu.

Oficiální

Zveřejnila ji centrální banka, statistický úřad, Evropská unie nebo jiný veřejný orgán.

Odborná nebo oborová data

Datová sada univerzity, poskytovatele indexů, oborového sdružení nebo dodavatele dat.

Z tisku

Údaj oficiálního orgánu, který známe jen z tisku a neověřili jsme ho v původním zdroji. Berte ho jako přibližný.

Příklad

Naše zaokrouhlené číslo, žádná statistika. Nahraďte ho vlastním.