Teks & alat harian · Penjana Kata Laluan
Sekiranya anda mempercayai penjana kata laluan dalam talian? Apa yang perlu diperiksa dahulu
· Mengapa ia penting
kata laluan privasi amanah
Memberi senarai semak untuk menilai penjana kata laluan berasaskan web — dari mana datangnya rawak, sama ada apa-apa dihantar, skrip yang dimuatkan, sama ada had didokumenkan — dan menerangkan sebab penjana 'percuma' berbeza jauh.
Kata laluan daripada orang yang tidak dikenali — idea ganjil untuk meminta tapak web mencipta rahsia anda
Meminta tapak web untuk mencipta rahsia terasa mundur kerana halaman web biasanya tiba melalui rangkaian dan melaksanakan kod daripada orang lain. Respons yang betul bukanlah kepercayaan buta atau dakwaan menyeluruh bahawa setiap penjana dalam talian adalah tidak selamat. Periksa tempat pilihan rawak berlaku, perkara yang meninggalkan halaman, skrip yang dimuatkan dan keadaan yang kekal selepas digunakan.
ToolAcre menyokong audit berskop kerana sumber dan ujian menamakan jahitan tersebut. Itu tidak menjadikan outputnya selamat untuk pelayar yang terjejas atau setiap akaun. Senarai semak menetapkan tingkah laku produk, manakala kepercayaan peranti, dasar destinasi dan storan kemudian kekal sebagai keputusan yang berasingan.
Semak sumber rawak — penjana kriptografi atau tujuan umum, dan sama ada halaman itu menyatakan yang mana
Mulakan dengan sumber rawak. ToolAcre memerlukan `crypto.getRandomValues`, siasat sebelum mendayakan kawalan dan melontar jika enjin tidak dapat memperolehnya. Semua pilihan terhad melalui pensampelan penolakan. Ujian mengimbas sumber pengeluaran untuk memastikan `Math.random` tidak dapat digunakan, jadi tuntutan itu dikuatkuasakan dan bukannya menjadi ayat pemasaran.
Kemudian periksa pengurangan dan kocok daripada berhenti pada nama API. Bait kriptografi masih boleh dikurangkan dengan teruk. Di sini, ekor tidak sekata ditolak sebelum kedudukan modulo dan aksara dikocok dengan integer sempadan selamat. Jika alat lain tidak menerangkan atau mendedahkan laluan ini, ketidakpastian kekal walaupun ia menyebut Web Crypto.
Semak rangkaian — adakah menjana kata laluan mencetuskan sebarang permintaan dan adakah halaman memuatkan skrip, iklan atau analitis pihak ketiga
Tonton rangkaian semasa halaman memuatkan, menjana dan menyalin. ToolAcre secara sah memuat turun senarai perkataan statik dari asalnya sendiri. Ujian pelayar membezakan aset awam tersebut daripada trafik kelayakan dan menegaskan bahawa Jana dan Salin tidak menambah permintaan. Pendaftaran produk melumpuhkan analisis dan pengiklanan pada setiap halaman kata laluan.
Oleh itu, panel rangkaian yang tidak kosong bukanlah kegagalan secara automatik. Semak tujuan permintaan, destinasi, kaedah dan isi, dan cari nilai yang dipasang. Periksa juga CSP, yang mengehadkan sambungan produk ini kepada asalnya sendiri. Senyap rangkaian adalah satu lapisan, bukan bukti terhadap sambungan tempatan atau perisian hasad.
Semak senarai perkataan — senarai yang diterbitkan seperti EFF berbanding senarai buatan sendiri yang tidak diketahui
Perbendaharaan kata yang dihantar bukanlah kolam buatan sendiri yang tidak dinamakan. Tiga fail EFF yang komited disenaraikan dalam pilihan, dikreditkan dalam kandungan produk dan disemak pada masa binaan terhadap kiraan baris bukan kosong yang diiklankan: 7,776 untuk senarai panjang dan 1,296 untuk setiap senarai pendek. Pemilihan menggunakan perkataan yang dimuatkan dan ditapis sebenar.
Senarai awam serasi dengan penjanaan selamat kerana kerahsiaan senarai bukan andaian. Indeks rawak ialah pilihan yang tidak diketahui. Namun, penapisan mengikut panjang perkataan mengubah kiraan yang layak, jadi alat yang teliti harus mengira daripada kumpulan yang terhasil daripada terus memetik saiz fail penuh.
Semak dokumentasi — adakah alat menyatakan perkara yang tidak akan dilakukan dan di mana hadnya
Dokumentasi harus menyatakan kedua-dua tingkah laku dan had. ToolAcre menamakan sempadan perkataan dan aksara, aset bahasa Inggeris sahaja, generasi satu nilai pada satu masa, tiada benih yang boleh dihasilkan semula, tiada semakan pelanggaran dan keperluan untuk sumber pelayar kriptografi yang berfungsi. Ia juga menyatakan bahawa angka entropi menerangkan tetapan di bawah andaian dan bukannya menjamin hasil.
Laluan kegagalan adalah sebahagian daripada kejujuran itu. Senarai kosong atau tiada, akrostik mustahil, julat tidak sah, kumpulan aksara tidak hadir, panjang yang berlebihan atau tidak mencukupi, penolakan papan keratan dan Web Crypto yang tiada menerima respons yang jelas. Penjana yang sahaja mendokumenkan laluan gembiranya meninggalkan tingkah laku yang paling berbangkit tidak disemak.
Semak perkara yang tertinggal — sejarah, autosimpan, papan keratan dan sama ada kawalan data Kosong wujud
Buku kerja menuntut kawalan data yang jelas, tetapi antara muka tidak mempunyai kawalan. Tingkah laku yang diperbetulkan adalah lebih khusus: Jana menggantikan satu nilai keadaan semasa, menukar tetapan bermakna mengosongkannya dan menavigasi jauh akan membuangnya kerana tiada storan atau sejarah wujud. Output kekal sebagai nod teks dalam DOM sehingga salah satu tindakan tersebut berlaku.
Salinan berlaku sahaja selepas pengguna menekan Salin dan menggunakan `navigator.clipboard.writeText`. Kod tidak mengosongkan papan keratan secara automatik, memeriksa sejarah papan keratan atau mengawal pengurus papan keratan sistem pengendalian. Jika kebenaran ditolak, ia memaparkan ralat dan meminta pengguna memilih dan menyalin secara manual.
Semak apa yang tinggal: satu nilai DOM semasa, tulis papan keratan eksplisit dan tiada kawalan data yang jelas
Sambungan pelayar dan penjana pengurus kata laluan dilaksanakan dengan keistimewaan dan model storan yang berbeza, jadi senarai semak ini tidak boleh mengauditnya melalui proksi. Pengurus mungkin betul-betul tempat yang tepat untuk menjana dan menyimpan bukti kelayakan tapak, tetapi itu adalah keputusan produk yang berasingan. ToolAcre tidak menyediakan peti besi atau autolengkap.
Begitu juga, penjana dalam talian tidak boleh digunakan pada peranti yang dikongsi atau tidak dipercayai semata-mata kerana semakan rangkaian lulus. Perisian dengan akses tempatan boleh membaca output atau papan keratan. Penilaian amanah mesti termasuk titik akhir, bukan sahaja asal tapak web.
Bawa pulang — Penjana Kata Laluan memberikan setiap cek secara terbuka, dan anda harus mengharapkan perkara yang sama daripada mana-mana alat yang anda gunakan
ToolAcre lulus set semakan yang telus: Kripto Web wajib, pensampelan penolakan, senarai statik yang disahkan, pemuatan asal yang sama, tiada permintaan penjanaan, tiada analitis atau iklan, tiada storan berterusan, tiada sejarah dan tindakan papan keratan yang jelas. Setiap tuntutan mempunyai sumber atau laluan ujian yang boleh diperiksa oleh penyemak.
Kesimpulannya tetap bersyarat. Gunakan bukti untuk memutuskan sama ada penjana ini sesuai dengan situasi tertentu, kemudian pastikan setiap nilai yang dijana secara peribadi dan unik. Jangan anggap pas senarai semak sebagai kebenaran untuk menggunakan semula, menghantar atau menyimpan bukti kelayakan secara sembarangan, dan jangan mengelirukan penjanaan dengan pengurusan.