Văn bản & công cụ hàng ngày · Trình tạo mật khẩu
Bạn có nên tin tưởng một trình tạo mật khẩu trực tuyến? Những gì cần kiểm tra đầu tiên
· Tại sao nó quan trọng
mật khẩu quyền riêng tư lòng tin
Cung cấp danh sách kiểm tra để đánh giá trình tạo mật khẩu dựa trên web — tính ngẫu nhiên đến từ đâu, liệu có thứ gì được gửi hay không, tập lệnh nào được tải, liệu các giới hạn có được ghi lại hay không — và giải thích tại sao các trình tạo mật khẩu 'miễn phí' lại khác nhau nhiều đến vậy.
Mật khẩu từ một người lạ - ý tưởng kỳ lạ là yêu cầu một trang web phát minh ra bí mật của bạn
Yêu cầu một trang web phát minh ra một bí mật có vẻ lạc hậu vì một trang web thường đến qua mạng và thực thi mã từ người khác. Câu trả lời đúng không phải là sự tin tưởng mù quáng hay một tuyên bố chung chung rằng mọi trình tạo trực tuyến đều không an toàn. Kiểm tra nơi xảy ra các lựa chọn ngẫu nhiên, nội dung nào rời khỏi trang, tập lệnh nào tải và trạng thái nào còn lại sau khi sử dụng.
ToolAcre hỗ trợ kiểm tra theo phạm vi vì nguồn và các cuộc kiểm tra đặt tên cho các đường nối đó. Điều đó không làm cho đầu ra của nó an toàn đối với trình duyệt hoặc mọi tài khoản bị xâm nhập. Danh sách kiểm tra thiết lập hành vi của sản phẩm, trong khi độ tin cậy của thiết bị, chính sách điểm đến và việc lưu trữ sau này vẫn là những quyết định riêng biệt.
Kiểm tra nguồn ngẫu nhiên - trình tạo mật mã hoặc mục đích chung và liệu trang đó có cho biết nguồn nào không
Bắt đầu với nguồn ngẫu nhiên. ToolAcre yêu cầu `crypto.getRandomValues`, thăm dò nó trước khi bật điều khiển và ném nếu động cơ không thể lấy được nó. Tất cả các lựa chọn giới hạn đều đi qua lấy mẫu từ chối. Kiểm tra sẽ quét nguồn sản xuất để loại bỏ `Math.random`, do đó, xác nhận quyền sở hữu được thực thi thay vì là một câu tiếp thị.
Sau đó kiểm tra việc rút gọn và xáo trộn thay vì dừng lại ở tên API. Các byte mật mã vẫn có thể bị giảm đi rất nhiều. Ở đây, các đuôi không đồng đều bị loại bỏ trước khi modulo và vị trí ký tự được xáo trộn với các số nguyên giới hạn an toàn. Nếu một công cụ khác không mô tả hoặc hiển thị đường dẫn này, thì sự không chắc chắn vẫn còn ngay cả khi nó đề cập đến Web Crypto.
Kiểm tra mạng — việc tạo mật khẩu có kích hoạt bất kỳ yêu cầu nào không và trang có tải tập lệnh, quảng cáo hoặc phân tích của bên thứ ba không
Xem mạng trong khi tải trang, tạo và sao chép. ToolAcre tải xuống hợp pháp các danh sách từ tĩnh từ nguồn gốc của chính nó. Kiểm tra trình duyệt phân biệt các tài sản công cộng đó với lưu lượng thông tin xác thực và khẳng định rằng Tạo và Sao chép không thêm yêu cầu nào. Cơ quan đăng ký sản phẩm vô hiệu hóa phân tích và quảng cáo trên mọi trang mật khẩu.
Do đó, bảng điều khiển mạng không trống không tự động bị lỗi. Kiểm tra mục đích, đích đến, phương thức và nội dung yêu cầu, đồng thời tìm kiếm giá trị được tập hợp. Đồng thời kiểm tra CSP, điều này hạn chế kết nối của sản phẩm này với nguồn gốc của chính nó. Sự im lặng của mạng là một lớp, không phải là bằng chứng chống lại các tiện ích mở rộng cục bộ hoặc phần mềm độc hại.
Kiểm tra danh sách từ — một danh sách được xuất bản chẳng hạn như của EFF so với một danh sách tự tạo tại nhà không xác định
Từ vựng được vận chuyển không phải là một kho từ vựng vô danh tự chế. Ba tệp EFF đã cam kết được liệt kê trong các tùy chọn, được ghi có trong nội dung sản phẩm và được kiểm tra tại thời điểm xây dựng dựa trên số dòng không trống được quảng cáo: 7,776 cho danh sách dài và 1,296 cho mỗi danh sách ngắn. Lựa chọn sử dụng các từ được tải và lọc thực tế.
Danh sách công khai tương thích với việc tạo an toàn vì tính bí mật của danh sách không phải là một giả định. Chỉ số ngẫu nhiên là sự lựa chọn chưa biết. Tuy nhiên, việc lọc theo độ dài từ sẽ thay đổi số lượng đủ điều kiện, do đó, một công cụ cẩn thận sẽ tính toán từ nhóm kết quả thay vì tiếp tục trích dẫn kích thước tệp đầy đủ.
Kiểm tra tài liệu - công cụ có nêu rõ những gì nó sẽ không làm được không và giới hạn của nó ở đâu
Tài liệu nên nêu cả hành vi và giới hạn. ToolAcre đặt tên giới hạn từ và ký tự, nội dung chỉ bằng tiếng Anh, tạo một giá trị tại một thời điểm, không có hạt giống có thể tái tạo, không kiểm tra vi phạm và yêu cầu về nguồn trình duyệt mật mã đang hoạt động. Nó cũng nói rằng các số liệu entropy mô tả các cài đặt theo giả định thay vì đảm bảo một kết quả.
Những con đường thất bại là một phần của sự trung thực đó. Danh sách trống hoặc bị thiếu, không thể viết chữ hoa, phạm vi không hợp lệ, nhóm ký tự vắng mặt, độ dài quá mức hoặc không đủ, từ chối clipboard và Web Crypto bị thiếu nhận được phản hồi rõ ràng. Một trình tạo chỉ ghi lại đường dẫn hạnh phúc của nó sẽ không xem xét hành vi có hậu quả nhất.
Kiểm tra những gì còn sót lại — lịch sử, tự động lưu, khay nhớ tạm và liệu tùy chọn kiểm soát Xóa dữ liệu có tồn tại không
Sổ làm việc yêu cầu kiểm soát Xóa dữ liệu nhưng giao diện không có. Hành vi đã sửa sẽ cụ thể hơn: Tạo thay thế một giá trị trạng thái hiện tại, việc thay đổi cài đặt có ý nghĩa sẽ xóa giá trị đó và điều hướng sẽ loại bỏ giá trị đó vì không có bộ nhớ hoặc lịch sử nào tồn tại. Đầu ra vẫn là nút văn bản trong DOM cho đến khi một trong những hành động đó xảy ra.
Sao chép chỉ xảy ra sau khi người dùng nhấn Sao chép và sử dụng `navigator.clipboard.writeText`. Mã không tự động xóa bảng tạm, kiểm tra lịch sử bảng tạm hoặc kiểm soát trình quản lý bảng tạm của hệ điều hành. Nếu quyền bị từ chối, nó sẽ hiển thị lỗi và yêu cầu người dùng chọn và sao chép thủ công.
Kiểm tra những gì còn lại: một giá trị DOM hiện tại, ghi vào bảng tạm rõ ràng và không có Kiểm soát xóa dữ liệu
Tiện ích mở rộng trình duyệt và trình tạo trình quản lý mật khẩu thực thi với các đặc quyền và mô hình lưu trữ khác nhau, vì vậy danh sách kiểm tra này không thể kiểm tra chúng bằng proxy. Người quản lý có thể chính xác là nơi thích hợp để tạo và lưu trữ thông tin xác thực trang web, nhưng đó là một quyết định riêng về sản phẩm. ToolAcre không cung cấp tính năng lưu trữ hoặc tự động điền.
Tương tự như vậy, không nên sử dụng trình tạo trực tuyến trên thiết bị dùng chung hoặc không đáng tin cậy chỉ vì quá trình kiểm tra mạng đã vượt qua. Phần mềm có quyền truy cập cục bộ có thể đọc đầu ra hoặc bảng ghi tạm. Đánh giá độ tin cậy phải bao gồm điểm cuối chứ không chỉ nguồn gốc của trang web.
Bài học rút ra - Trình tạo mật khẩu vượt qua từng bước kiểm tra một cách công khai và bạn sẽ mong đợi điều tương tự từ bất kỳ công cụ nào bạn sử dụng
ToolAcre vượt qua một bộ kiểm tra minh bạch: Web Crypto bắt buộc, lấy mẫu từ chối, danh sách tĩnh đã được xác minh, tải cùng nguồn gốc, không yêu cầu tạo, không phân tích hoặc quảng cáo, không lưu trữ liên tục, không có lịch sử và hành động clipboard rõ ràng. Mỗi xác nhận quyền sở hữu có một nguồn hoặc đường dẫn kiểm tra mà người đánh giá có thể kiểm tra.
Kết luận vẫn có điều kiện. Sử dụng bằng chứng để quyết định xem trình tạo này có phù hợp với một tình huống cụ thể hay không, sau đó giữ cho mỗi giá trị được tạo ở chế độ riêng tư và duy nhất. Không coi thẻ kiểm tra là quyền sử dụng lại, truyền hoặc lưu trữ thông tin xác thực một cách bất cẩn và không nhầm lẫn việc tạo với quản lý.