Bezpieczeństwo poświadczeń: Hasło a Hasło wielowyrazowe
Wybór odpowiedniego zabezpieczenia zależy od sposobu, w jaki dane uwierzytelniające będą wprowadzane i przechowywane. Tradycyjne, losowe hasło charakteryzuje się wysokim zagęszczeniem informacji. Składa się z ciągu losowych znaków, co pozwala uzyskać wysoką odporność na złamanie przy stosunkowo niewielkiej długości. Jest to optymalny wybór w sytuacjach, gdy poświadczenia są przechowywane w menedżerze haseł i automatycznie uzupełniane w formularzach logowania.
Z kolei hasło wielowyrazowe (ang. passphrase) składa się z kilku pełnych słów połączonych określonym separatorem. Taka struktura jest znacznie łatwiejsza do zapamiętania przez człowieka i wygodniejsza do ręcznego wpisywania. Rozwiązanie to sprawdza się w przypadkach takich jak:
- Tworzenie głównego hasła (master password) do menedżera haseł.
- Konfiguracja hasła do sieci Wi-Fi, które musi być odczytywane na głos lub wpisywane na urządzeniach bez fizycznej klawiatury.
- Ustalanie kodu odblokowania fizycznego urządzenia.
Parametry generowania haseł tradycyjnych
Podczas generowania tradycyjnego hasła narzędzie pozwala na precyzyjne określenie zestawu znaków oraz długości ciągu. Domyślna długość wynosi 16 znaków, jednak użytkownik może ustawić dowolną wartość w przedziale od 4 do 64 znaków.
Do dyspozycji pozostają następujące opcje wyboru zestawów znaków:
- Wielkie litery (A-Z)
- Małe litery (a-z)
- Cyfry (0-9)
- Symbole (!@#$…)
Jeżeli wybranych zostanie kilka typów znaków, algorytm gwarantuje, że w wygenerowanym haśle pojawi się co najmniej jeden znak z każdego zaznaczonego zestawu, o ile pozwala na to ustawiona długość. Pozostałe pozycje są uzupełniane poprzez losowe próbkowanie z połączonej puli znaków.
Dodatkową opcją jest funkcja Wyklucz niejednoznaczne znaki (0, O, I, l, 1). Jej aktywacja eliminuje znaki, które w wielu krojach pisma wyglądają niemal identycznie, co zapobiega pomyłkom podczas ręcznego przepisywania tekstu.
W przypadku odznaczenia wszystkich pól wyboru typów znaków, proces generowania zostaje wstrzymany, a narzędzie wyświetla komunikat o błędzie: "Wybierz co najmniej jeden typ znaków.". W tej sytuacji pole wyniku, wartość entropii oraz wskaźnik siły zostają wyczyszczone.
Parametry generowania haseł wielowyrazowych
Generowanie haseł wielowyrazowych opiera się na losowym wyborze słów ze specjalnej listy. Użytkownik może określić liczbę słów w przedziale od 3 do 10 (domyślna wartość wynosi 6).
Dostosowanie formatu hasła wielowyrazowego umożliwiają następujące parametry:
- Separator: Słowa mogą być oddzielone za pomocą opcji: Myślnik, Spacja, Kropka lub Brak.
- Wielkie litery w słowach: Powoduje rozpoczęcie każdego słowa wielką literą, co ułatwia wizualne rozróżnienie poszczególnych członów.
- Dołącz cyfrę: Wprowadza losową cyfrę do struktury hasła wielowyrazowego w celu zwiększenia jego złożoności.
Podczas inicjalizacji procesu generowania hasła wielowyrazowego, w tle pobierana jest lista słów. W tym czasie wyświetlany jest status "Ładowanie listy słów…".
Matematyczna miara odporności: Entropia
Entropia wyrażona w bitach określa stopień losowości wygenerowanego ciągu i pozwala na obiektywne porównanie poziomu bezpieczeństwa różnych haseł. Wyższa wartość entropii oznacza, że dane hasło jest trudniejsze do złamania metodą siłową (brute-force). Obliczenia te zakładają, że potencjalny atakujący zna dokładną metodę generowania hasła. Miara ta odzwierciedla surową losowość, a nie szacowany czas łamania hasła przy użyciu zaawansowanych ataków słownikowych lub hybrydowych.
Sposób obliczania entropii różni się w zależności od wybranego typu poświadczenia:
| Typ poświadczenia | Metoda obliczania entropii |
|---|---|
| Hasło | Długość hasła pomnożona przez log₂ z liczby wszystkich dostępnych znaków w wybranych zestawach. |
| Hasło wielowyrazowe | Liczba słów pomnożona przez log₂(7 776), gdzie 7 776 to całkowity rozmiar używanej listy słów. |
Na podstawie obliczonej entropii narzędzie przypisuje hasłu jeden z czterech poziomów jakości, wyświetlając odpowiedni status:
- "Słabe"
- "Średnie"
- "Silne"
- "Bardzo silne"
Lokalna prywatność i technologia generowania
Proces generowania haseł i haseł wielowyrazowych odbywa się w pełni lokalnie, bezpośrednio w przeglądarce internetowej użytkownika. Narzędzie wykorzystuje wbudowane w przeglądarkę, kryptograficznie bezpieczne mechanizmy generowania liczb losowych.
Żadne wprowadzane parametry, wygenerowane hasła ani dane tymczasowe nie są przesyłane do serwerów BroBroGo, zapisywane ani udostępniane podmiotom zewnętrznym. Po wygenerowaniu poświadczenia użytkownik może je skopiować, klikając bezpośrednio na pole tekstowe (co sygnalizuje komunikat "Kliknij, aby skopiować"), naciskając klawisz Enter lub Spację, bądź używając dedykowanego przycisku kopiowania. Każda zmiana ustawień, przełączenie trybu lub kliknięcie przycisku "Wygeneruj ponownie" natychmiast nadpisuje poprzednią wartość nowym, losowym ciągiem.
FAQ
W jaki sposób generowana jest losowość? Każdy znak i każde słowo są wybierane przy użyciu silnego kryptograficznie mechanizmu losowości przeglądarki, a nie przewidywalnego źródła liczb pseudolosowych. Przy każdym wyborze stosuje się próbkowanie z odrzuceniem (rejection sampling), dzięki czemu żaden znak ani słowo nie są faworyzowane.
Czy lepiej użyć hasła tradycyjnego czy wielowyrazowego? Losowe hasło zawiera więcej entropii na znak, dlatego jest lepszym wyborem wszędzie tam, gdzie będzie przechowywane i automatycznie uzupełniane przez menedżer haseł. Hasło wielowyrazowe (passphrase składające się z kilku połączonych słów) jest łatwiejsze do wpisania lub odczytania z pamięci, co czyni je idealnym rozwiązaniem dla rzeczy, które trzeba wpisywać ręcznie – takich jak kod odblokowania urządzenia, hasło do Wi-Fi czy główne hasło do menedżera haseł.
Co oznacza wskaźnik entropii? Jest to liczba bitów losowości w wygenerowanej wartości. Dla hasła tradycyjnego to długość pomnożona przez log2 z liczby znaków, które mogą pojawić się na danej pozycji; dla hasła wielowyrazowego to liczba słów pomnożona przez log2(7 776), czyli wielkość listy słów. Wyższa wartość oznacza trudniejsze złamanie metodą brute-force. Zakłada się przy tym, że atakujący zna dokładną metodę użytą do wygenerowania hasła, więc jest to miara czystej losowości, a nie pełna estymacja czasu łamania hasła przy użyciu słowników czy ataków wzorcowych.
Dlaczego po odznaczeniu wszystkich opcji znaków hasło nie jest generowane? Aby wygenerować hasło, algorytm musi posiadać pulę znaków, z której będzie czerpać. Jeśli odznaczysz wielkie litery, małe litery, cyfry oraz symbole, pula ta staje się pusta. W takim przypadku narzędzie wyświetli komunikat "Wybierz co najmniej jeden typ znaków." i wstrzyma działanie do momentu zaznaczenia przynajmniej jednej opcji.