Генератор на пароли за Diceware — пароли с произволни думи

Този инструмент генерира пароли по начина на Diceware: вместо гъста поредица от произволни знаци, които са трудни за въвеждане и още по-трудни за запомняне, той нанизва няколко обикновени думи, избрани независимо на случаен принцип. Парола като „forest-comet-lantern-guitar-oasis-thistle“ носи реална, изчислима ентропия, като същевременно е нещо, което човешкото същество може да прочете на глас, да въведе на клавиатурата на телефона или да запомни след няколко опита – което е точно компромисът, около който е проектирано поколението в стил Diceware.

Случайността е целият смисъл, така че тук се приема сериозно: всяка дума се избира с помощта на криптографски защитения генератор на произволни числа crypto.getRandomValues() на браузъра, с правилно вземане на проби за отхвърляне при всяко теглене. Необработена 32-битова произволна стойност се приема само ако попада в диапазон, равномерно разделен на дължината на списъка с думи; стойностите в остатъка, неравномерният остатък се изхвърлят и се хвърлят отново. Пропускането на тази стъпка и просто извършването на value % wordlistLength ще даде много малко предимство на ниско индексираните думи пред тези с висок индекс – фино статистическо отклонение, което наивното внедряване би въвело тихо. Този генератор никога не използва този пряк път.

Честността относно ентропията е другата половина на дизайна. Списъкът с пакетни думи има 1821 уникални, недвусмислени, ежедневни английски думи – голям, представителен списък, но не конкретният списък от 7776 думи, използван от класическия проект Diceware, така че този инструмент никога не претендира за известната цифра от 12,9 бита на дума, която се отнася само за този точен списък. Вместо това ентропията на дума се изчислява на живо като log2 (дължина на списъка), което тук е приблизително 10,8 бита на дума, а резултатът на екрана винаги показва пълната формула – броя на думите по битове на дума, плюс честния принос на всички екстри – така че можете да видите как точно е достигната общата сума, вместо да се доверявате на маркетингово число.

Незадължителните превключватели се третират със същата честност. Писането на всяка дума с главна буква е фиксирано, детерминистично правило, прилагано по един и същи начин всеки път, така че изобщо не добавя реална ентропия - нападател, който знае правилото, не печели нищо от това, че не знае кои букви са главни, и инструментът го казва ясно. Добавянето на произволно двуцифрено число, напротив, е истинско допълнително произволно теглене на 100 еднакво вероятни стойности, добавяйки реални и посочени ~6,6 бита върху думите. Всичко се изчислява и изобразява локално във вашия браузър без включен сървър, така че паролата, която генерирате, никога не се вижда от никого, освен от вас.