Strumenti di testo e di uso quotidiano · Generatore di password
Dovresti fidarti di un generatore di password online? Cosa controllare prima
· Perché è importante
password privacy Fiducia
Fornisce una lista di controllo per giudicare un generatore di password basato sul web (da dove viene la casualità, se viene inviato qualcosa, quali script vengono caricati, se i limiti sono documentati) e spiega perché i generatori "gratuiti" differiscono così tanto.
Una password di uno sconosciuto: la strana idea di chiedere a un sito web di inventare il tuo segreto
Chiedere a un sito web di inventare un segreto sembra arretrato perché una pagina web normalmente arriva attraverso una rete ed esegue il codice di qualcun altro. La risposta giusta non è né la fiducia cieca né l’affermazione generalizzata secondo cui ogni generatore online non è sicuro. Controlla dove si verificano le scelte casuali, cosa lascia la pagina, quali script vengono caricati e quale stato rimane dopo l'uso.
ToolAcre supporta un controllo mirato perché l'origine e i test denominano tali congiunzioni. Ciò non rende il suo output sicuro per un browser compromesso o per ogni account. L'elenco di controllo stabilisce il comportamento del prodotto, mentre l'attendibilità del dispositivo, la policy di destinazione e la successiva archiviazione rimangono decisioni separate.
Controlla la fonte della casualità: generatore crittografico o di uso generale, e se la pagina dice quale
Inizia con la fonte casuale. ToolAcre richiede `crypto.getRandomValues`, lo sonda prima di abilitare i controlli e genera un'eccezione se il motore non riesce a ottenerlo. Tutte le scelte limitate passano attraverso il campionamento del rifiuto. Un test analizza la fonte di produzione per escludere `Math.random`, in modo che la dichiarazione venga applicata anziché essere una frase di marketing.
Quindi controlla la riduzione e mescola invece di fermarti al nome API. I byte crittografici possono ancora essere ridotti in modo significativo. Qui, le code irregolari vengono rifiutate prima che il modulo e le posizioni dei caratteri vengano mescolate con numeri interi limitati sicuri. Se un altro strumento non descrive o non espone questo percorso, l’incertezza rimane anche se menziona Web Crypto.
Controlla la rete: la generazione di una password attiva qualsiasi richiesta e la pagina carica script, annunci o analisi di terze parti
Osserva la rete mentre la pagina viene caricata, generata e copiata. ToolAcre scarica legittimamente elenchi di parole statiche dalla propria origine. I test del browser distinguono le risorse pubbliche dal traffico di credenziali e affermano che Genera e Copia non aggiungono richieste. Il registro del prodotto disabilita l'analisi e la pubblicità su ogni pagina della password.
Un pannello di rete non vuoto non è quindi automaticamente un guasto. Controllare lo scopo, la destinazione, il metodo e il corpo della richiesta e cercare il valore assemblato. Ispeziona anche CSP, che limita le connessioni di questo prodotto alla sua stessa origine. Il silenzio della rete è un livello, non è a prova di estensioni locali o malware.
Controlla l'elenco di parole: un elenco pubblicato come quello di EFF rispetto a uno sconosciuto fatto in casa
Il vocabolario spedito non è un pool fatto in casa senza nome. Tre file EFF impegnati sono elencati nelle opzioni, accreditati nel contenuto del prodotto e controllati in fase di creazione rispetto al numero di righe non vuote pubblicizzate: 7,776 per l'elenco lungo e 1,296 per ogni elenco breve. La selezione utilizza le parole effettivamente caricate e filtrate.
Un elenco pubblico è compatibile con la generazione sicura perché la segretezza dell'elenco non è un presupposto. L'indice casuale è la scelta sconosciuta. Tuttavia, il filtraggio in base alla lunghezza delle parole modifica il conteggio idoneo, quindi uno strumento attento dovrebbe calcolare dal pool risultante anziché continuare a citare l'intera dimensione del file.
Controlla la documentazione: lo strumento indica cosa non farà e quali sono i suoi limiti
La documentazione dovrebbe indicare sia il comportamento che i limiti. ToolAcre nomi limiti di parole e caratteri, risorse solo in inglese, generazione di un valore alla volta, nessun seme riproducibile, nessun controllo delle violazioni e il requisito di un'origine browser crittografica funzionante. Afferma inoltre che i dati entropici descrivono impostazioni basate su presupposti piuttosto che garantire un risultato.
I percorsi di fallimento fanno parte di questa onestà. Elenchi vuoti o mancanti, acrostici impossibili, intervalli non validi, gruppi di caratteri assenti, lunghezze eccessive o insufficienti, rifiuto degli appunti e Web Crypto mancanti ricevono risposte esplicite. Un generatore che documenta solo il suo percorso felice lascia senza revisione il comportamento più consequenziale.
Controlla cosa rimane indietro: cronologia, salvataggio automatico, appunti e se esiste un controllo Cancella dati
La cartella di lavoro richiede un controllo Cancella dati, ma l'interfaccia non ne ha. Il comportamento corretto è più specifico: Genera sostituisce l'unico valore dello stato corrente, la modifica di impostazioni significative lo cancella e l'allontanamento lo elimina perché non esiste spazio di archiviazione o cronologia. L'output rimane un nodo di testo in DOM finché non si verifica una di queste azioni.
La copia avviene solo dopo che l'utente ha premuto Copia e utilizza `navigator.clipboard.writeText`. Il codice non cancella automaticamente gli appunti, non controlla la cronologia degli appunti né controlla un gestore di appunti del sistema operativo. Se l'autorizzazione viene rifiutata, viene visualizzato un errore e viene chiesto all'utente di selezionare e copiare manualmente.
Controlla ciò che rimane: un valore DOM corrente, una scrittura esplicita negli appunti e nessun controllo Cancella dati
Le estensioni del browser e i generatori di gestori di password vengono eseguiti con privilegi e modelli di archiviazione diversi, quindi questo elenco di controllo non può controllarli tramite proxy. Un manager potrebbe essere esattamente il posto giusto per generare e archiviare le credenziali del sito, ma questa è una decisione di prodotto separata. ToolAcre non fornisce alcun deposito o riempimento automatico.
Allo stesso modo, un generatore online non dovrebbe essere utilizzato su un dispositivo condiviso o non affidabile semplicemente perché i controlli di rete superano. Il software con accesso locale può leggere l'output o gli appunti. La valutazione dell’attendibilità deve includere l’endpoint, non solo l’origine del sito web.
Il punto è che il generatore di password supera ogni controllo apertamente e dovresti aspettarti lo stesso da qualsiasi strumento che utilizzi
ToolAcre supera una serie trasparente di controlli: crittografia Web obbligatoria, campionamento del rifiuto, elenchi statici verificati, caricamento della stessa origine, nessuna richiesta di generazione, nessuna analisi o pubblicità, nessuna archiviazione persistente, nessuna cronologia e un'azione esplicita negli appunti. Ogni attestazione ha un'origine o un percorso di test che un revisore può controllare.
La conclusione resta condizionata. Utilizza le prove per decidere se questo generatore si adatta a una situazione particolare, quindi mantieni ogni valore generato privato e unico. Non considerare il superamento della checklist come un permesso per riutilizzare, trasmettere o archiviare le credenziali con noncuranza e non confondere la generazione con la gestione.