أدوات النص واليومية · مولد كلمة المرور
هل يجب أن تثق بمولد كلمات المرور عبر الإنترنت؟ ما يجب التحقق منه أولا
· لماذا يهم
كلمات المرور خصوصية يثق
يقدم قائمة مرجعية للحكم على مولد كلمات المرور على شبكة الإنترنت - من أين تأتي العشوائية، وما إذا كان يتم إرسال أي شيء، وما هي البرامج النصية التي يتم تحميلها، وما إذا كانت الحدود موثقة - ويشرح سبب اختلاف المولدات "المجانية" كثيرًا.
كلمة مرور من شخص غريب — فكرة غريبة تتمثل في مطالبة أحد مواقع الويب باختراع سرك
إن مطالبة موقع ويب باختراع سر يبدو أمرًا متخلفًا لأن صفحة الويب تصل عادةً عبر الشبكة وتنفذ تعليمات برمجية من شخص آخر. الرد الصحيح ليس الثقة العمياء ولا الادعاء الشامل بأن كل مولد على الإنترنت غير آمن. افحص مكان حدوث الاختيارات العشوائية، وما يغادر الصفحة، وما هي البرامج النصية التي يتم تحميلها، وما هي الحالة التي تبقى بعد الاستخدام.
ToolAcre يدعم التدقيق النطاقي لأن المصدر والاختبارات تسمي تلك اللحامات. وهذا لا يجعل مخرجاته آمنة بالنسبة للمتصفح المخترق أو لكل حساب. تحدد قائمة التحقق سلوك المنتج، بينما تظل ثقة الجهاز وسياسة الوجهة والتخزين اللاحق قرارات منفصلة.
تحقق من مصدر العشوائية - منشئ التشفير أو للأغراض العامة، وما إذا كانت الصفحة تشير إلى أي منها
ابدأ بالمصدر العشوائي. ToolAcre يتطلب `crypto.getRandomValues`، ويتحقق منه قبل تمكين عناصر التحكم ويرمي إذا لم يتمكن المحرك من الحصول عليه. تمر جميع الاختيارات المحددة عبر أخذ عينات الرفض. يقوم الاختبار بفحص مصدر الإنتاج لإبقاء `Math.random` خارجًا، وبالتالي يتم فرض المطالبة بدلاً من أن تكون جملة تسويقية.
ثم قم بفحص التخفيض والخلط العشوائي بدلاً من التوقف عند الاسم API. لا يزال من الممكن تقليل بايتات التشفير بشكل سيئ. هنا، يتم رفض الذيول غير المستوية قبل تبديل المواضع ومواضع الأحرف بأعداد صحيحة محددة بشكل آمن. إذا لم تصف أداة أخرى هذا المسار أو تكشفه، فسيظل عدم اليقين قائمًا حتى لو ذكرت Web Crypto.
التحقق من الشبكة — هل يؤدي إنشاء كلمة مرور إلى تشغيل أي طلب، وهل تقوم الصفحة بتحميل البرامج النصية أو الإعلانات أو التحليلات التابعة لجهات خارجية
شاهد الشبكة أثناء تحميل الصفحة وإنشاءها ونسخها. ToolAcre يقوم بتنزيل قوائم الكلمات الثابتة من مصدرها بشكل شرعي. تميز اختبارات المتصفح تلك الأصول العامة عن حركة بيانات الاعتماد وتؤكد أن عملية الإنشاء والنسخ لا تضيف أي طلبات. يقوم سجل المنتج بتعطيل التحليلات والإعلانات على كل صفحة كلمة مرور.
وبالتالي فإن لوحة الشبكة غير الفارغة لا تعتبر فاشلة تلقائيًا. تحقق من غرض الطلب ووجهته وطريقة ونص الطلب وابحث عن القيمة المجمعة. قم أيضًا بفحص CSP، الذي يقيد اتصالات هذا المنتج بمصدره. يعد صمت الشبكة بمثابة طبقة واحدة، وليس دليلاً ضد الإضافات المحلية أو البرامج الضارة.
تحقق من قائمة الكلمات — قائمة منشورة مثل EFF مقابل قائمة محلية الصنع غير معروفة
المفردات المشحونة ليست مجموعة محلية الصنع غير مسماة. تم إدراج ثلاثة ملفات EFF في الخيارات، وتم إضافتها إلى محتوى المنتج وفحصها في وقت الإنشاء مقابل أعداد الأسطر غير الفارغة المعلن عنها: 7,776 للقائمة الطويلة و1,296 لكل قائمة قصيرة. يستخدم التحديد الكلمات الفعلية المحملة والمفلترة.
القائمة العامة متوافقة مع الإنشاء الآمن لأن سرية القائمة ليست افتراضًا. الفهرس العشوائي هو الاختيار غير المعروف. ومع ذلك، فإن التصفية حسب طول الكلمة تؤدي إلى تغيير العدد المؤهل، لذا يجب أن تقوم الأداة الدقيقة بالحساب من المجموعة الناتجة بدلاً من الاستمرار في اقتباس حجم الملف الكامل.
تحقق من الوثائق - هل توضح الأداة ما لن تفعله وأين حدودها
يجب أن توضح الوثائق كلاً من السلوك والحدود. ToolAcre تحدد حدود الكلمات والأحرف، والأصول باللغة الإنجليزية فقط، وإنشاء قيمة واحدة في كل مرة، وعدم وجود بذور قابلة للتكرار، وعدم التحقق من الاختراق، والمتطلبات لمصدر متصفح تشفير فعال. وينص أيضًا على أن أرقام الإنتروبيا تصف الإعدادات وفقًا للافتراضات بدلاً من ضمان النتيجة.
مسارات الفشل هي جزء من هذا الصدق. القوائم الفارغة أو المفقودة، والأرقام العشوائية المستحيلة، والنطاقات غير الصالحة، ومجموعات الأحرف الغائبة، والأطوال الزائدة أو غير الكافية، ورفض الحافظة، وتشفير الويب المفقود، تتلقى استجابات صريحة. المولد الذي يوثق مساره السعيد فقط يترك السلوك الأكثر أهمية دون مراجعة.
تحقق مما تبقى في الخلف — السجل، والحفظ التلقائي، والحافظة، وما إذا كان هناك عنصر تحكم في مسح البيانات
يطالب المصنف بمسح عنصر التحكم في البيانات، لكن الواجهة لا تحتوي على أي عنصر تحكم. السلوك المصحح أكثر تحديدًا: يستبدل الإنشاء قيمة الحالة الحالية الواحدة، ويؤدي تغيير الإعدادات ذات المعنى إلى مسحها، ويؤدي التنقل بعيدًا إلى تجاهلها بسبب عدم وجود تخزين أو محفوظات. يظل الإخراج عقدة نصية في DOM حتى يحدث أحد هذه الإجراءات.
لا يتم النسخ إلا بعد أن يضغط المستخدم على "نسخ" ويستخدم `navigator.clipboard.writeText`. لا يقوم الرمز بمسح الحافظة تلقائيًا أو فحص محفوظات الحافظة أو التحكم في مدير حافظة نظام التشغيل. إذا تم رفض الإذن، فإنه يعرض خطأ ويطلب من المستخدم التحديد والنسخ يدويًا.
تحقق مما تبقى: قيمة DOM حالية واحدة، وكتابة صريحة في الحافظة، ولا يوجد تحكم في مسح البيانات
يتم تنفيذ ملحقات المتصفح ومولدات إدارة كلمات المرور بامتيازات ونماذج تخزين مختلفة، لذلك لا يمكن لقائمة التحقق هذه تدقيقها بواسطة الوكيل. قد يكون المدير هو المكان المناسب تمامًا لإنشاء بيانات اعتماد الموقع وتخزينها، ولكن هذا قرار منفصل يتعلق بالمنتج. ToolAcre لا يوفر أي مخزن أو تعبئة تلقائية.
وبالمثل، لا ينبغي استخدام المولد عبر الإنترنت على جهاز مشترك أو غير موثوق به لمجرد اجتياز عمليات فحص الشبكة. يمكن للبرامج ذات الوصول المحلي قراءة المخرجات أو الحافظة. يجب أن يتضمن تقييم الثقة نقطة النهاية، وليس أصل موقع الويب فقط.
الخلاصة - يمرر مولد كلمات المرور كل عملية فحص بشكل مفتوح، ويجب أن تتوقع نفس الشيء من أي أداة تستخدمها
يقوم ToolAcre بتمرير مجموعة شفافة من عمليات التحقق: تشفير الويب الإلزامي، وأخذ عينات الرفض، والقوائم الثابتة التي تم التحقق منها، والتحميل من نفس المصدر، وعدم طلب إنشاء، وعدم وجود تحليلات أو إعلانات، وعدم وجود تخزين مستمر، وعدم وجود سجل وإجراء حافظة صريح. تحتوي كل مطالبة على مصدر أو مسار اختبار يمكن للمراجع فحصه.
يبقى الاستنتاج مشروطا. استخدم الأدلة لتحديد ما إذا كان هذا المولد يناسب موقفًا معينًا، ثم احتفظ بكل قيمة تم إنشاؤها خاصة وفريدة من نوعها. لا تعامل تصريح قائمة التحقق باعتباره إذنًا لإعادة استخدام بيانات الاعتماد أو نقلها أو تخزينها بلا مبالاة، ولا تخلط بين الإنشاء والإدارة.