Texto y herramientas cotidianas · Generador de contraseñas
Por qué la 'grapa correcta para batería de caballo' funciona solo si las palabras son aleatorias
· Por qué es importante
contraseñas frases de contraseña aleatoriedad
El famoso cómic hizo populares las frases de contraseña y también generó un mal hábito: elegir tus propias palabras; Esta publicación explica por qué la fuerza depende completamente de una selección aleatoria de una lista conocida.
El cómic que todos recuerdan y la lección que la mitad de ellos se perdió: cuatro palabras comunes son fuertes solo cuando las eligen los dados
Una secuencia memorable de cuatro palabras demuestra un formato, no el proceso que lo seleccionó. El cálculo de ToolAcre depende de que cada posición reciba un índice uniforme independiente del grupo de palabras elegibles. Si una persona elige cuatro palabras familiares porque suenan divertidas o forman una escena, el número visible de palabras permanece en cuatro, mientras que la distribución subyacente cambia.
El repositorio no utiliza un cómic o una frase famosa como fuente para un umbral de seguridad. Implementa y prueba una rutina de selección aleatoria. La lección práctica es preservar esa rutina en lugar de copiar un ejemplo público o imitar su gramática. Cualquier frase impresa en un artículo ya es conocida y no debe convertirse en credencial.
Cuatro palabras familiares no son evidencia de un proceso de selección aleatorio
La elección humana puede favorecer objetos favoritos, nombres, citas, orden gramatical y palabras que van juntas. ToolAcre no intenta estimar esas preferencias, por lo que no califica una frase existente. Llamar a una secuencia autoelegida equivalente a cuatro sorteos uniformes aplicaría la fórmula generadora a un proceso que nunca ocurrió.
La selección aleatoria aún puede producir dos palabras que se relacionan o incluso se repiten porque los sorteos usan reemplazo. Editar ese resultado hasta que parezca más aleatorio introduce la preferencia humana después del hecho. El procedimiento honesto es aceptar el nuevo resultado o generar un candidato completamente nuevo, sin publicar ninguno de los dos.
El principio de Kerckhoffs se aplica a las listas de palabras: el atacante puede conocer toda la lista EFF y la frase de contraseña se mantiene segura.
Las listas de la EFF son activos públicos estáticos y eso no perjudica el recuento de posibles índices. Para la lista larga, la compilación verifica 7,776 entradas. Un atacante puede conocer cada palabra, el orden del archivo y todas las configuraciones; La parte desconocida es qué índices independientes seleccionó Web Crypto para esta salida privada en particular.
Este diseño evita la "seguridad a través de una lista secreta de palabras". También significa que se debe tener en cuenta el filtrado. Si el usuario reduce la longitud de las palabras permitidas, el grupo elegible se vuelve más pequeño y la función de entropía utiliza ese grupo real en lugar de seguir citando 7,776.
Una lista de palabras pública sigue siendo utilizable porque el índice aleatorio, no el secreto de la lista, es la entrada
Una frase como “rebanada de tarta de manzana roja” conlleva asociaciones y estructura gramatical. El repositorio no contiene ningún modelo de la frecuencia con la que las personas crean ese patrón, por lo que no asigna ningún espacio de búsqueda numérico. Tratar las cuatro fichas como independientes simplemente porque están separadas por espacios ignoraría la evidencia de selección.
ToolAcre elige cada palabra hasta `secureRandomChoice` de la misma lista elegible. La palabra anterior no acota el siguiente sorteo. Esa independencia es una propiedad de la ruta del código, no una propiedad visual de la frase completa.
Palabras relacionadas revelan un proceso humano que este generador no modela
Para cuatro palabras de lista larga generadas sin filtrado, el recuento de salida ordenado es 7,776⁴ porque cada una de las cuatro posiciones puede recibir cualquier índice de lista. El cálculo se puede derivar en línea del tamaño del archivo verificado. Una frase de cuatro palabras creada por una persona no recibe ningún número coincidente aquí porque su proceso candidato no está especificado.
Esta comparación evita deliberadamente estimaciones de tiempo de crack y no imprime una frase generada. Sólo establece que un proceso es contable a partir de elecciones uniformes conocidas mientras que el otro no. La idoneidad de una cuenta aún depende del destino, el dispositivo y el modelo de amenaza más amplio.
Ejemplo resuelto: contrastar un generador uniforme conocido con una frase humana no cuantificada
Se puede construir una historia mnemotécnica después de la selección si deja sin cambios las palabras, el orden, la regla de casos y los delimitadores. La historia es una ayuda para la memoria, no una razón para sustituirla por una palabra más agradable. La publicación de la historia o frase revelaría la credencial, así que mantenga ambas dentro del proceso de manejo aprobado.
ToolAcre en sí no enseña ni prueba métodos mnemotécnicos. Proporciona palabras en inglés y controles de formato. Si se puede recordar un resultado en particular es personal y el almacenamiento pertenece a un administrador y no a esta página.
Lo que esto no cubre: las afirmaciones de entropía específicas en el cómic y cómo se calcularon
Este artículo no reproduce afirmaciones de entropía específicas del cómic porque el cómic no es una fuente de repositorio proporcionada para verificación. Tampoco afirma que cualquier cantidad de palabras venza cada ataque. El phishing, el malware, la reutilización y un destino comprometido quedan fuera de la lista aritmética.
La omisión preserva un límite útil: las matemáticas de elección generada se pueden comparar directamente con códigos y archivos, mientras que la historia cultural y las afirmaciones de terceros necesitan sus propias fuentes primarias. Los dos no deben mezclarse porque el formato parece familiar.
La conclusión: mantén la idea, abandona el hábito; deje que el generador de contraseñas elija las palabras de la lista EFF
Mantenga la idea de una credencial de varias palabras, pero deje que un proceso aleatorio auditado elija las palabras. ToolAcre utiliza activos EFF verificados, Web Crypto e índices imparciales. Se espera un vocabulario público; una nueva combinación privada es la parte que debe permanecer desconocida.
No elija palabras por tema, no repare resultados incómodos ni reutilice el resultado. Generación presenta un candidato y lo olvida; la gestión, el almacenamiento y la política de destino suceden en otros lugares. El cálculo de la fuerza sigue un proceso aleatorio, no el encanto de la frase final.