Текстові та щоденні інструменти · Генератор паролів
Чи варто довіряти онлайн-генератору пароля? Як перевірити перший
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
паролі конфіденційність Довіра
Подарує список перевірок для суддівства генератора паролів на основі веб-сайту — де приходить випадковость, чи все надіслано, які скрипти навантаження, чи є ліміти документовані — і пояснює, чому генератори «безкоштовно» відрізняються так багато.
Пароль від незнайомця — непарна ідея запитати веб-сайт, щоб заявити секрет
За допомогою веб-сторінки, що зазвичай прибуває через мережу, і виконує код з інших. Правова відповідь не є сліпою довірою, а не ковдрою, яка кожен онлайн-генератор небезпечний. Важко, де виникають випадкові вибіри, які залишає сторінку, які скрипти навантаження і які стани залишаються після використання.
ToolAcre підтримує масштабний аудит, оскільки джерело та тести назвають ті шви. Що не робить його вихідним сейфом для компромісного браузера або кожного облікового запису. Перелік перевірок встановлює поведінку продуктів, при цьому довіра пристрою, політики призначення та пізнішому зберіганні залишаються окремими рішеннями.
Перевірте джерело випадкових даних — криптографічний генератор або загальний функціонал, і чи говорить сторінка, яка
Почати з випадковим джерелом. ToolAcre , `crypto.getRandomValues`, що дозволяє контролювати і кидати, якщо двигун не може його отримати. Всі обмежені варіанти, які проходять через відхилення відторгнення. Тест-відскани джерело виробництва, щоб зберегти `Math.random` не зважаючи на те, що заява не буде давати маркетингову пропозицію.
Потім перевірте зменшення і заглушка, а не зупинятися на API ім'я. Криптографічні байти можуть бути зменшені погано. Ось, нерівні хвости відхиляються до модуля і позиції персонажа подрібнюються з захищеними обмеженими цілими цілими. Якщо інший інструмент не описує або піддає цей шлях, непевність залишається навіть якщо він згадує Web Crypto.
Перевірте мережу — генерує пароль, який викликає будь-яке запит, і робить сторінку завантаженням сторонніх сценаріїв, оголошень або аналітики
Переглядайте мережу, коли завантаження сторінок, генерує та копіює. ToolAcre законно завантажує статичні списки фраз з власного походження. Тести браузера виділяють активи публічного трафіку і затверджують, що Генерувати і Копіювати не потрібно запитів. Реєстри продукту відключають аналітику та рекламу на кожній сторінці пароля.
Непрозора мережева панель, тому не автоматично не буде. Перевірте призначення запиту, призначення, метод і тіло, пошук зібраного значення. Також перевірте CSP, яка обмежує зв’язки цього продукту до власного походження. Мережева тиша - один шар, не вистосовно локальних розширень або шкідливих програм.
Перевірити список слів — опублікований список, наприклад EFF- невідомий будинок-робот
Здійснено незбагачувальний лексичний лексика. Три охочі EFF файли вказані в опціях, зараховані в змісті продукту і перевіряють в часі складання рекламодавцем неблаготовних ліній: 7,776 для довгого списку і 1,296 для кожного списку. Вибір використовує фактичні завантажені та фільтровані слова.
Список публічних даних сумісний з захищеним поколінням, оскільки секреція списку не є припущенням. Невідомий вибір випадкового індексу. На жаль, фільтрація довжини слів змінюється кількість, тому ретельному інструменті слід розрахувати з отриманого басейну, а не зберігати котирування повного розміру файлу.
Перевірка документації — це стан інструменту, який не буде робити і де її межі є
Документація повинна бути як поведінкою, так і в межах. ToolAcre імена слово та характерні межі, англо-навічні активи, однозначно-часове покоління, не відтворюване насіння, не порушуючи контроль та вимогу до роботи криптографічного джерела браузера. Також, що ентропії, які описують параметри при припущеннях, а не гарантує результат.
Недостатні шляхи є частиною цієї чесності. Неможливі або відсутні списки, неможливі акророзії, недійсні діапазони, несутні групи символів, надмірні або недостатні довжини, відмова від буфера обміну та відсутність Web Crypto отримувати чіткі відповіді. Генератор, який тільки документує його щасливий шлях залишає найбільш непереглянуті поведінку.
Перевірте, що залишається за межами — історія, автозбереження, буфер обміну та чи існує контроль за даними прозорого
У робочій книзі передбачено контроль чітких даних, але інтерфейс не має. Виправлена поведінка є більш специфічною: Генерувати замінює одне поточне значення держави, змінює значущі налаштування очищає її, і відправляється від нього відкинути, тому що не існує зберігання або історії. Вихід залишається текстовим вершиною в DOM до тих пір, поки не виникає одна з цих дій.
Копіювати відбувається тільки після того, як користувач натискає кнопку Копіювати і використовувати `navigator.clipboard.writeText`. Код не очищає буфер обміну автоматично, перевіряє історію буфера або контроль за допомогою операційного затиску. Якщо відмова від дозволу, вона відображає помилку і просить користувача вибрати і копіювати вручну.
Перевірте, що залишається: один струм DOM значення, явного запису буфера обміну та відсутність чіткого керування даними
Розширення браузера та генератори паролів, які виконуються з різними привілеями та моделями зберігання, тому цей контроль не може слухати їх проксі. Менеджер може бути точно правильне місце для створення та зберігання облікових даних сайту, але це окреме рішення про продукт. ToolAcre не передбачено запору або автозаправки.
Як правило, онлайн-генератор не повинен використовуватися на загальному або ненадійному пристрої, що просто не довіряє, оскільки мережеві перевірки проходять. Програмне забезпечення з локальним доступом може прочитати вихідний або буфер обміну. Довіра оцінки необхідно включити кінцеву точку, не тільки походження сайту.
Приведи — Генератор паролів проходить кожну перевірку відкрито, і ви повинні очікувати того ж з будь-якого інструменту, який ви використовуєте
ToolAcre переходить прозорий набір перевірок: обов'язковий Web Crypto, вибір відхилення відторгнення, перевірені статичні списки, однозначні завантаження, не вимога про покоління, не аналітика або реклами, не зберігаються, історії та явного ефекту буфера. Кожен претендує на джерело або тест-трекінг може перевірятися.
Висновок залишається умовним. Використовуйте докази, щоб визначити, чи підходить цей генератор, а потім зберегти кожен створений значення приватного і унікального. Не лікуйте контрольний лист як дозвіл на використання, передачі або зберігання облікових даних, не залишаючись байдужими, а не генерувати конус з управлінням.