Generator haseł wielowyrazowych

Jak liczony jest wynik

1. Słowa są losowane z kryptograficznego źródła losowości Twojej przeglądarki (crypto.getRandomValues). Każde słowo jest wybierane z jednakowym prawdopodobieństwem z całej listy, a losowanie, które faworyzowałoby niektóre słowa, jest odrzucane.
2. Słowa są losowane niezależnie, więc to samo słowo może wypaść dwa razy. Dzięki temu wszystkie hasła są jednakowo prawdopodobne, a ich liczba to dokładnie rozmiar listy do potęgi liczby słów.
3. Siła w bitach to logarytm przy podstawie 2 z tej liczby, więc każde słowo dodaje tyle samo bitów: log2 rozmiaru listy (11 bitów przy 2048 słowach, około 12,9 przy 7776). Wylosowana cyfra dodaje około 3,3 bita. Separator i wielkie litery nie dodają nic, bo za każdym razem są takie same.
4. Czas odgadnięcia to połowa wszystkich możliwości (średnia) podzielona przez liczbę prób na sekundę, które atakujący jest w stanie wykonać, tak jak w generatorze haseł.
5. Przedziały siły są nasze, nie są normą: poniżej 60 bitów słabe, od 60 do 100 bitów dobre, od 100 bitów bardzo silne.

Założenia i ograniczenia

• Siła dotyczy tylko hasła utworzonego przez ten generator, nie hasła wybranego lub ręcznie zmienionego, i zakłada atakującego, który zna listę i Twoje ustawienia.
• Używamy tylko list słów z publicznym źródłem i wolną licencją: angielskiej (EFF) oraz czeskiej, hiszpańskiej i francuskiej (BIP-39). Kolejne języki dojdą, gdy pojawi się lista, którą potrafimy zweryfikować.
• Prędkości to testy jednej karty graficznej. Atakujący może użyć wielu, a serwis może stosować wolniejszy hash lub ograniczać liczbę prób, więc rzeczywisty czas może być znacznie krótszy lub znacznie dłuższy.
• Generator nie sprawdza, czy hasło nie wyciekło, i nie zna zasad konkretnego serwisu, na przykład maksymalnej długości.
• Ataków na człowieka (phishing, złośliwe oprogramowanie) nie ma w liczbach, a silne hasło przed nimi nie chroni.

Prędkość online (10 prób na sekundę) to nasz przykład. Prędkości offline to opublikowane testy: MD5 215,8 GH/s i bcrypt 255,3 kH/s na jednej karcie NVIDIA RTX 5090 (hashcat v6.2.6). Listy słów to EFF Large Wordlist (angielski) i listy BIP-39 (czeski, hiszpański, francuski).

Źródła danych i okres, którego dotyczą

Każda liczba, od której kalkulator zaczyna lub z której liczy, pochodzi z jednego ze źródeł poniżej. Nazwy serii podajemy tak, jak nazywa je wydawca. W każdym wierszu jest okres, do którego odnoszą się dane, oraz, tam gdzie go zapisujemy, dzień pobrania. Dane oficjalne bywają w chwili publikacji sprzed kilku miesięcy, więc przed decyzją sprawdź aktualną wartość.

Oficjalne

Opublikowane przez bank centralny, urząd statystyczny, Unię Europejską lub inny organ publiczny.

Dane naukowe lub branżowe

Zbiór danych uczelni, dostawcy indeksów, organizacji branżowej lub dostawcy danych.

Z prasy

Liczba oficjalnego organu, którą znamy tylko z prasy i nie sprawdziliśmy w pierwotnym źródle. Traktuj ją jako przybliżoną.

Przykład

Nasza okrągła liczba, nie statystyka. Zastąp ją własną.