Ferramentas de texto e do dia a dia · Gerador de senhas
Bits de entropia versus medidores de força: o que o número realmente mede
· Fundo
senhas entropia medidores de força
Explica o que é um pouco de entropia, por que ela pode ser calculada exatamente para senhas geradas, mas estimada apenas para senhas escolhidas por humanos, e por que os medidores de força e os números de entropia muitas vezes discordam.
A barra verde que mentiu - um medidor de força adora 'P@ssw0rd2024' e encolhe os ombros diante de uma senha de seis palavras
ToolAcre não mostra uma barra colorida de vermelho a verde nem aceita senha para avaliação. Ele estima o processo aleatório configurado em seu próprio gerador e declara suposições ao lado do resultado. A afirmação da pasta de trabalho de que um medidor típico adora um exemplo e rejeita outro requer evidências de uma implementação nomeada, que não faz parte deste repositório.
Corrigir esse título é importante porque um cálculo transparente e uma pontuação heurística respondem a questões diferentes. ToolAcre conhece seu pool, contagem de empates, regra de caso e regra delimitadora. Não sabe como foi produzida uma corda escolhida noutro local, por isso recusa-se a sugerir que a aparência por si só revela força.
Uma barra de força verde está fora desta ferramenta; ToolAcre informa uma estimativa declarada do gerador
Um bit representa uma duplicação no número de resultados igualmente possíveis. Se um empate tiver N opções uniformes, sua contribuição será log₂(N). Escolhas independentes são adicionadas. Essa aritmética é exata para o modelo declarado, mas o repositório não fornece nenhum limite universal de bits que torne uma senha apropriada para cada conta.
Os modelos de ameaças diferem e os valores gerados permanecem vulneráveis a caminhos de comprometimento que não enumeram o espaço. Uma contagem pode comparar configurações sem dizer nada definitivo sobre phishing, malware, reutilização, recuperação ou um destino que armazena credenciais incorretamente.
Um cálculo de bits segue contagens de escolha verificadas, sem um limite de segurança universal
A mesma sequência visível de palavras pode resultar de índices aleatórios seguros ou de uma pessoa selecionando uma citação. As strings correspondem enquanto os processos são diferentes. ToolAcre estima o primeiro porque toda operação aleatória é conhecida; ele não estima o segundo porque as preferências humanas e a ordem do invasor não são modeladas.
Essa visão que prioriza o processo também explica por que a formatação determinística não adiciona entropia. A capitalização fixa e os separadores transformam as palavras selecionadas de maneira previsível. Casos aleatórios e delimitadores aleatórios adicionam opções explícitas porque o mecanismo executa novos sorteios para eles.
A estimativa descreve o processo de geração e as configurações, não apenas a sequência visível
Para valores gerados, o pacote pode calcular a partir da lista de palavras filtrada real e dos sorteios configurados. O modo de caractere usa o tamanho do alfabeto selecionado e o comprimento solicitado. Essas entradas são visíveis e testáveis, permitindo que a estimativa mude quando um usuário restringe o pool ou desativa uma classe.
Os valores criados pelo homem precisam de um modelo de escolhas prováveis, e não apenas de um alfabeto elevado ao tamanho de uma corda. ToolAcre não contém esse modelo e não convida os usuários a colar credenciais existentes, o que também evita a exposição de um segredo para uma pontuação duvidosa.
Como funcionam os medidores de força – contagem de regras, verificações de dicionário e correspondência de padrões, e onde cada um engana
Alguns medidores externos usam dicionários, correspondência de padrões ou heurísticas de composição, mas suas regras e versões não são material de origem aqui. Este artigo, portanto, não apresenta uma competição falsa contra um medidor “típico”. Uma comparação válida precisaria de uma implementação nomeada, entradas e código atual.
A ausência é deliberada. O comportamento heurístico pode mudar independentemente de ToolAcre, enquanto a estimativa do gerador permanece vinculada às operações controladas pelo repositório. Os leitores devem interpretar outro medidor a partir de sua própria documentação, em vez de presumir que cada barra verde significa a mesma coisa.
O comportamento do medidor de força de terceiros está fora das evidências do repositório
Comece com seis palavras de um conjunto elegível de N em letras minúsculas e espaços fixos: a palavra contribuição é 6 × log₂(N). Mude para caso aleatório e adicione seis opções binárias. Volte para maiúsculas e minúsculas fixas e adicione uma sétima palavra; o incremento é log₂(N). Cada diferença segue uma configuração visível.
Para o modo de caractere, use o alfabeto exato selecionado relatado pela fonte e multiplique log₂ de seu tamanho pelo comprimento, conforme faz a estimativa do pacote. Esses cálculos comparam os processos suportados. Eles não produzem um exemplo de credencial, previsão de tempo de crack ou recomendação universal.
Exemplo resolvido: calcule três alterações de configuração suportadas sem simular um medidor
A entropia de Shannon de corpora de linguagem natural e métricas de suposição de pesquisa estão fora da implementação do gerador. O mesmo acontece com os modelos de senha treinados empiricamente. Confundi-los com um cálculo de escolha uniforme faria com que uma palavra familiar “entropia” abrangesse várias definições incompatíveis.
A página de limitações do produto já segue o caminho mais seguro: o número descreve as configurações sob suposições declaradas e as estimativas de tempo são comparações em vez de previsões. Mantenha esses qualificadores anexados sempre que o número for citado.
Conclusão: uma senha gerada tem uma entropia conhecida, e é por isso que o Gerador de senha pode ser honesto quanto à força
Uma senha gerada possui um modelo calculável porque ToolAcre controla e expõe as escolhas aleatórias. Essa transparência é a propriedade útil. O bit resultante não é uma pintura intrínseca dos personagens e não garante a segurança de todos os invasores ou sistemas.
Use a estimativa para auditar alterações de configuração e mantenha o valor real privado e exclusivo. Não use ToolAcre como gerente nem cole uma credencial existente para avaliação. Um modelo claro é melhor que um medidor confiável somente quando seu limite permanece visível.