เครื่องมือข้อความและชีวิตประจำวัน · เครื่องมือสร้างรหัสผ่าน
คุณควรเชื่อถือเครื่องมือสร้างรหัสผ่านออนไลน์หรือไม่? สิ่งที่ต้องตรวจสอบก่อน
· เหตุใดจึงสำคัญ
รหัสผ่าน ความเป็นส่วนตัว เชื่อมั่น
ให้รายการตรวจสอบสำหรับการตัดสินเครื่องมือสร้างรหัสผ่านบนเว็บ — ที่มาของการสุ่ม ไม่ว่าจะมีการส่งอะไรก็ตาม โหลดสคริปต์ใด มีการบันทึกขีดจำกัดไว้หรือไม่ และอธิบายว่าทำไมเครื่องมือสร้าง 'ฟรี' จึงแตกต่างอย่างมาก
รหัสผ่านจากคนแปลกหน้า — ความคิดแปลก ๆ ในการขอให้เว็บไซต์สร้างความลับของคุณ
การขอให้เว็บไซต์ประดิษฐ์ความลับให้ความรู้สึกล้าหลัง เพราะปกติแล้วหน้าเว็บจะมาถึงผ่านเครือข่ายและเรียกใช้โค้ดจากบุคคลอื่น การตอบสนองที่ถูกต้องไม่ใช่การเชื่อใจแบบไร้เหตุผลหรือการกล่าวอ้างแบบครอบคลุมว่าโปรแกรมสร้างออนไลน์ทุกเครื่องไม่ปลอดภัย ตรวจสอบว่าตัวเลือกแบบสุ่มเกิดขึ้นที่ใด สิ่งใดออกจากเพจ สคริปต์ใดที่โหลด และสถานะใดที่เหลืออยู่หลังการใช้งาน
ToolAcre รองรับการตรวจสอบขอบเขตเนื่องจากแหล่งที่มาและการทดสอบตั้งชื่อตะเข็บเหล่านั้น นั่นไม่ได้ทำให้เอาต์พุตปลอดภัยสำหรับเบราว์เซอร์ที่ถูกบุกรุกหรือทุกบัญชี รายการตรวจสอบจะกำหนดลักษณะการทำงานของผลิตภัณฑ์ ในขณะที่ความน่าเชื่อถือของอุปกรณ์ นโยบายปลายทาง และพื้นที่เก็บข้อมูลในภายหลังยังคงเป็นการตัดสินใจที่แยกจากกัน
ตรวจสอบแหล่งที่มาของการสุ่ม — ตัวสร้างการเข้ารหัสหรือวัตถุประสงค์ทั่วไป และดูว่าหน้านั้นระบุหรือไม่
เริ่มต้นด้วยแหล่งที่มาแบบสุ่ม ToolAcre ต้องใช้ `crypto.getRandomValues` ตรวจสอบก่อนเปิดใช้งานการควบคุม และส่งออกหากเครื่องยนต์ไม่สามารถรับได้ ตัวเลือกที่มีขอบเขตทั้งหมดผ่านการสุ่มตัวอย่างการปฏิเสธ การทดสอบจะสแกนแหล่งที่มาของการผลิตเพื่อไม่ให้ `Math.random` ออกไป ดังนั้นการอ้างสิทธิ์จึงถูกบังคับใช้แทนที่จะเป็นประโยคทางการตลาด
จากนั้นตรวจสอบการลดลงและการสุ่มแทนที่จะหยุดที่ชื่อ API ไบต์ที่เข้ารหัสยังคงสามารถลดลงได้ไม่ดี ที่นี่ หางที่ไม่สม่ำเสมอจะถูกปฏิเสธก่อนที่ตำแหน่งโมดูโลและอักขระจะถูกสับด้วยจำนวนเต็มที่มีขอบเขตที่ปลอดภัย หากเครื่องมืออื่นไม่ได้อธิบายหรือเปิดเผยเส้นทางนี้ ความไม่แน่นอนยังคงอยู่แม้ว่าจะกล่าวถึง Web Crypto ก็ตาม
ตรวจสอบเครือข่าย — การสร้างรหัสผ่านจะทริกเกอร์คำขอใดๆ และหน้าเว็บจะโหลดสคริปต์ โฆษณา หรือการวิเคราะห์ของบุคคลที่สามหรือไม่
ดูเครือข่ายในขณะที่โหลด สร้าง และคัดลอกเพจ ToolAcre ดาวน์โหลดรายการคำศัพท์แบบคงที่จากแหล่งที่มาของตัวเองอย่างถูกกฎหมาย การทดสอบเบราว์เซอร์จะแยกแยะเนื้อหาสาธารณะเหล่านั้นออกจากการรับส่งข้อมูลรับรอง และยืนยันว่าสร้างและคัดลอกเพิ่มไม่มีการร้องขอ การลงทะเบียนผลิตภัณฑ์ปิดใช้งานการวิเคราะห์และการโฆษณาในทุกหน้ารหัสผ่าน
แผงเครือข่ายที่ไม่ว่างจึงไม่ถือเป็นความล้มเหลวโดยอัตโนมัติ ตรวจสอบวัตถุประสงค์ของคำขอ ปลายทาง วิธีและเนื้อหา และค้นหาค่าที่ประกอบเข้าด้วยกัน นอกจากนี้ ให้ตรวจสอบ CSP ซึ่งจำกัดการเชื่อมต่อของผลิตภัณฑ์นี้กับแหล่งที่มาของมันเอง ความเงียบของเครือข่ายเป็นชั้นเดียว ไม่สามารถพิสูจน์ได้ว่ามีส่วนขยายในเครื่องหรือมัลแวร์
ตรวจสอบรายการคำศัพท์ — รายการที่เผยแพร่ เช่น EFF's เทียบกับรายการทำเองที่ไม่รู้จัก
คำศัพท์ที่จัดส่งไม่ใช่พูลทำเองที่ไม่มีชื่อ ไฟล์ EFF ที่คอมมิตสามไฟล์แสดงอยู่ในตัวเลือก ซึ่งให้เครดิตในเนื้อหาผลิตภัณฑ์ และตรวจสอบ ณ เวลาสร้างเทียบกับจำนวนบรรทัดที่ไม่ว่างที่โฆษณา: 7,776 สำหรับรายการแบบยาวและ 1,296 สำหรับแต่ละรายการแบบสั้น การเลือกใช้คำที่โหลดและกรองจริง
รายการสาธารณะเข้ากันได้กับการสร้างความปลอดภัย เนื่องจากการรักษาความลับของรายการไม่ใช่ข้อสันนิษฐาน ดัชนีสุ่มคือตัวเลือกที่ไม่รู้จัก อย่างไรก็ตาม การกรองตามความยาวของคำจะเปลี่ยนจำนวนที่มีสิทธิ์ ดังนั้นเครื่องมือที่ระมัดระวังควรคำนวณจากพูลผลลัพธ์ แทนที่จะอ้างอิงขนาดไฟล์เต็มต่อไป
ตรวจสอบเอกสาร — เครื่องมือระบุว่าจะไม่ทำอะไรและขีดจำกัดอยู่ที่ใด
เอกสารควรระบุทั้งพฤติกรรมและขีดจำกัด ToolAcre ตั้งชื่อขอบเขตคำและอักขระ เนื้อหาที่เป็นภาษาอังกฤษเท่านั้น การสร้างค่าครั้งละหนึ่งค่า ไม่มีเมล็ดพันธุ์ที่ทำซ้ำได้ ไม่มีการตรวจสอบการละเมิด และข้อกำหนดสำหรับแหล่งที่มาของเบราว์เซอร์ที่เข้ารหัสลับที่ใช้งานได้ นอกจากนี้ยังระบุด้วยว่าตัวเลขเอนโทรปีอธิบายการตั้งค่าภายใต้สมมติฐานมากกว่าการรับประกันผลลัพธ์
เส้นทางความล้มเหลวเป็นส่วนหนึ่งของความซื่อสัตย์นั้น รายการว่างหรือขาดหายไป การกระทำที่เป็นไปไม่ได้ ช่วงที่ไม่ถูกต้อง กลุ่มอักขระขาด ความยาวมากเกินไปหรือไม่เพียงพอ การปฏิเสธคลิปบอร์ด และ Web Crypto ที่หายไป ได้รับการตอบกลับอย่างชัดเจน ตัวสร้างที่บันทึกเฉพาะเส้นทางแห่งความสุขเท่านั้นที่จะปล่อยให้พฤติกรรมที่เป็นผลสืบเนื่องมากที่สุดไม่ได้รับการตรวจสอบ
ตรวจสอบสิ่งที่ยังอยู่เบื้องหลัง เช่น ประวัติ บันทึกอัตโนมัติ คลิปบอร์ด และการควบคุมข้อมูลที่ชัดเจนอยู่หรือไม่
เวิร์กบุ๊กอ้างสิทธิ์ตัวควบคุมข้อมูลที่ชัดเจน แต่อินเทอร์เฟซไม่มีเลย ลักษณะการทำงานที่ได้รับการแก้ไขจะมีความเฉพาะเจาะจงมากขึ้น: สร้างแทนที่ค่าสถานะปัจจุบันหนึ่งค่า การเปลี่ยนแปลงการตั้งค่าที่มีความหมายจะเป็นการล้างค่านั้น และการนำทางออกไปจะละทิ้งค่าดังกล่าวเนื่องจากไม่มีที่เก็บข้อมูลหรือประวัติอยู่ เอาต์พุตยังคงเป็นโหนดข้อความใน DOM จนกว่าการดำเนินการอย่างใดอย่างหนึ่งจะเกิดขึ้น
การคัดลอกจะเกิดขึ้นหลังจากที่ผู้ใช้กดคัดลอกและใช้ `navigator.clipboard.writeText` เท่านั้น รหัสจะไม่ล้างคลิปบอร์ดโดยอัตโนมัติ ตรวจสอบประวัติคลิปบอร์ด หรือควบคุมตัวจัดการคลิปบอร์ดของระบบปฏิบัติการ หากการอนุญาตถูกปฏิเสธ จะแสดงข้อผิดพลาดและขอให้ผู้ใช้เลือกและคัดลอกด้วยตนเอง
ตรวจสอบสิ่งที่เหลืออยู่: ค่า DOM ปัจจุบันหนึ่งค่า การเขียนคลิปบอร์ดที่ชัดเจน และไม่มีการควบคุมข้อมูลที่ชัดเจน
ส่วนขยายเบราว์เซอร์และเครื่องมือสร้างตัวจัดการรหัสผ่านดำเนินการด้วยสิทธิ์และรูปแบบการจัดเก็บข้อมูลที่แตกต่างกัน ดังนั้นรายการตรวจสอบนี้จึงไม่สามารถตรวจสอบได้โดยพรอกซี ผู้จัดการอาจเป็นสถานที่ที่เหมาะสมในการสร้างและจัดเก็บข้อมูลประจำตัวของไซต์ แต่นั่นเป็นการตัดสินใจผลิตภัณฑ์แยกต่างหาก ToolAcre ไม่มีห้องนิรภัยหรือการป้อนอัตโนมัติ
ในทำนองเดียวกัน ไม่ควรใช้ตัวสร้างออนไลน์บนอุปกรณ์ที่ใช้ร่วมกันหรือไม่น่าเชื่อถือเพียงเพราะการตรวจสอบเครือข่ายผ่าน ซอฟต์แวร์ที่เข้าถึงได้ในเครื่องสามารถอ่านเอาต์พุตหรือคลิปบอร์ดได้ การประเมินความน่าเชื่อถือต้องรวมจุดสิ้นสุดด้วย ไม่ใช่เฉพาะที่มาของเว็บไซต์เท่านั้น
ข้อสำคัญ — เครื่องมือสร้างรหัสผ่านผ่านการตรวจสอบแต่ละครั้งอย่างเปิดเผย และคุณควรคาดหวังสิ่งเดียวกันจากเครื่องมือใดๆ ก็ตามที่คุณใช้
ToolAcre ผ่านชุดการตรวจสอบที่โปร่งใส: Web Crypto ที่จำเป็น, การสุ่มตัวอย่างการปฏิเสธ, รายการคงที่ที่ได้รับการยืนยัน, การโหลดจากต้นทางเดียวกัน, ไม่มีคำขอสร้าง, ไม่มีการวิเคราะห์หรือโฆษณา, ไม่มีพื้นที่เก็บข้อมูลถาวร, ไม่มีประวัติ และการดำเนินการของคลิปบอร์ดที่ชัดเจน การอ้างสิทธิ์แต่ละรายการมีแหล่งที่มาหรือเส้นทางทดสอบที่ผู้ตรวจสอบสามารถตรวจสอบได้
ข้อสรุปยังคงเป็นเงื่อนไข ใช้หลักฐานเพื่อตัดสินใจว่าตัวสร้างนี้เหมาะสมกับสถานการณ์เฉพาะหรือไม่ จากนั้นจึงรักษาค่าที่สร้างขึ้นแต่ละค่าให้เป็นส่วนตัวและไม่ซ้ำกัน อย่าถือว่าบัตรผ่านรายการตรวจสอบเป็นการอนุญาตให้ใช้ซ้ำ ส่ง หรือจัดเก็บข้อมูลประจำตัวอย่างไม่ระมัดระวัง และอย่าสับสนระหว่างการสร้างกับฝ่ายบริหาร