如何选择密码
为什么随机比聪明、您需要多少个单词、长度范围和分隔符真正发生了什么变化，以及何时随机密码是更好的工具。
唯一使密码变得强大的因素是你没有选择它
这就是整个想法，值得直言不讳，因为几乎每一条密码建议都掩盖了它。密码短语的强度与该过程可能产生的同等可能密码短语的数量成正比。如果机器从 7,776 列表中统一选取 6 个单词，则该数字为 7,776 的六次方。如果一个人选择了六个感觉随机的单词，那么这个数字就会小得多，因为人们并不是统一的采样者，而且从来都不是。
随意询问某人一种动物，你会比土豚更频繁地听到狗、猫或狮子。要求随机的四位数字和 1234 以及以 19 开头的年份的比例严重过高。破解软件正是建立在这些规律之上的：它不按字母顺序猜测，而是按可能性顺序猜测，而人类的选择位于队列的前面。
所以这个页面的价值不在于文字。你和其他任何人都不会影响哪些内容的出现。
为什么默认是六个字
EFF 长列表中的六个单词是电子前沿基金会自己对该列表的推荐，并且该工具默认为该列表。每个单词贡献大约 12.9 bits，因此其中六个大约相当于 77 bits — 足以让每秒进行一万亿次猜测的离线攻击者仍会搜索极长的时间，而短语本身仍然足够短以进行排练。
关于 64 bits 的五个字是资源充足的离线攻击不再是理论的关键。对于您不太关心的帐户来说，这是一个合理的选择，但对于保护其他事物的任何帐户来说，这是一个糟糕的选择。
对于保护其他一切的两三个密码来说，七到八个单词是值得的：解锁密码管理器、设备登录、电子邮件帐户的密码。这些是您需要经常输入以学习的密码短语，也是那些妥协成本最高的密码短语。
超过八个字的价值就会急剧下降。那时，密码已经远远超出了任何猜测攻击的范围，而现实的威胁——网络钓鱼页面、机器上的恶意软件、以纯文本形式存储密码的运行不良的网站——并不关心它有多长。
使用哪个单词列表
长列表包含 7,776 个单词（六个骰子，每组五个骰子），并且是默认列表，因为每个单词都具有最大的强度：大约 12.9 bits。其字较长，有几句晦涩难懂，这就是你做的交易。
短列表包含 1,296 个单词，每个单词大约 10.3 bits。这些单词更常见，输入速度也更快，如果您要在游戏机或电视遥控器上输入密码，这一点很重要。因为每个单词的价值都比较低，所以您大约需要七到八个单词才能匹配长列表中的六个单词。
第三个列表的大小与短列表相同，但经过选择，以便没有单词成为任何其他单词的前缀，并且前三个字母唯一地标识该单词。对于具有自动完成功能或使用笨拙键盘的设备来说，这确实很方便，而且与普通的短列表相比，它不需要花费任何精力。
列表越大并不一定越好。重要的是单词的数量乘以每个单词的强度，并且带有一两个额外单词的简短列表可以达到相同的位置。
高级选项实际改变了什么
在绘制任何单词之前，最小和最大单词长度会过滤列表。这是一个真正的交易：将范围缩小到五到九个字母可以使结果更易于阅读和输入，但它也缩小了每个单词的来源池，因此每个单词的强度略低。页面上的熵数字是根据过滤池计算的，而不是完整列表，因此它已经反映了您选择的任何内容。
分隔符改变单词的连接方式。空格读起来最好，也是大多数人认为最容易重新键入的内容，但某些登录表单会修剪或拒绝空格，这就是提供连字符和下划线的原因。选择随机选项会从五个字符中为每个间隙选择一个新的分隔符，这会增加少量的实际强度 - 每个间隙大约 2.3 bits - 并计入所示的图中。
存在大小写选项是因为许多网站仍然要求大写字母。小写、大写、首字母大写和交替都是固定的规则：知道规则的攻击者从中得不到任何好处，因此它们都不会增加力量。随机选项是不同的 - 每个字都是独立的大写或小写，每个字恰好添加一位并进行计数。
离合诗限制每个单词以您选择的字母开头，因此首字母可以拼写一些内容。它是一种记忆辅助工具，但需要消耗体力：每个单词不是从整个单词库中提取，而是从以该字母开头的较小的集合中提取。该页面会重新计算您输入的字母的熵，并且它会清楚地告诉您当前列表中是否没有单词以及长度范围以其中之一开头。
密码还是随机密码？
使用人们必须记住并输入的密码短语：密码管理器自己的主密码、设备登录名、磁盘加密密钥、您需要从没有密码管理器的计算机访问的帐户。
在其他地方使用随机密码——如果你正确使用管理器，这种密码几乎无处不在。你永远不会输入这些内容，所以记忆性并不能带来任何好处，二十个随机字符比同等的密码短语在更少的击键中提供了更多的力量。
从大约 80 个符号的混合字母表中抽取的 20 个字符的随机密码大约值 126 bits，这比长列表中的 8 个单词要轻松得多。此页面也会在“高级选项”下的随机密码部分中生成这些密码。
两者都在同一个地方是有原因的：正确的答案取决于是否由人或程序进行打字，这是一个值得每次询问而不是一次性解决的问题。
好好利用结果
还有一个值得养成的习惯：当有理由（违规通知、共享设备、怀疑）时更改密码，而不是在日历上更改。强制定期轮换可靠地产生较弱的密码，因为人们通过在末尾增加一个数字来应对它。
- 使用“复制”按钮复制它，而不是选择文本，因此两端都不会丢失或修剪任何内容。
- 将其直接粘贴到密码管理器中，然后再将其粘贴到其他地方。永远不会到达经理的密码是您最终将重置的密码。
- 将其用于一个帐户，仅此而已。重用会将一个网站的违规行为变成所有帐户的问题，而再多的熵也无济于事。
- 不要添加令人难忘的调整——你的出生年份、网站名称、感叹号——以使其感觉更个性化。这些添加正是猜测软件首先扩展的内容，它们消除了您来到这里的随机性。
- 如果网站因密码太长或包含空格而拒绝密码，请将其缩短一个单词或切换分隔符，而不是手动发明替代品。
你生成的东西会发生什么
ToolAcre 在您的浏览器中本地生成密码。对于高度敏感的环境，请在使用任何基于 Web 的密码生成器之前验证您的浏览器、设备和操作系统是否可信。
- 每个密码短语和密码都是由浏览器自己的加密随机数生成器在浏览器选项卡中生成的。页面加载后，不涉及任何服务器。
- 这里生成的任何内容都不会发送到 ToolAcre。该产品的内容安全策略将页面限制为其自己的来源，因此浏览器本身会阻止任何将数据发送到其他地方的尝试。
- 本地存储、会话存储、cookie、浏览器内数据库、地址栏或浏览器控制台中不会写入任何内容。重新加载会丢弃它；关闭选项卡将丢弃它。
- 没有帐户，没有登录，没有分析脚本，也没有广告脚本。唯一下载的文件是静态单词列表。
- 没有保留任何历史记录。再次生成替换该值，之前的值不可恢复。
问题
同一个单词可以在一个密码短语中出现两次吗？
是的，这是正确的而不是错误。每个单词都是从整个合格池中独立抽取的。删除重复项将使结果看起来更整洁，同时悄悄减少可能的密码短语的数量，因此熵值会夸大强度。
我应该添加数字和符号来满足需要它们的网站吗？
如果网站坚持，请以固定、无聊的方式附加它们——每次都使用相同的后缀——并且不要将它们计入强度。向随机密码添加可预测的修饰几乎不需要任何成本，也几乎没有任何收益。如果可以的话，请将分隔符切换为标点符号，这通常可以满足规则。
短列表中较长的密码是否与长列表中较短的密码一样好？
是的。强度是字数乘以每个字携带的位数。简短列表中的八个词是关于 82 bits 的；长列表中的六个是关于 77 的。重要的是产品，而不是它来自哪个列表。
每个单词的第一个字母大写是否会使其更强大？
不，这是一个固定的规则，所以任何猜测的人都可以应用相同的规则。只有随机情况选项会增加强度，因为每个单词的选择都是实际的硬币翻转，并且页面将其计为每个单词一位。
我实际上需要记住多少个密码？
通常是三到四个：解锁密码管理器、设备登录名、电子邮件帐户，也许还有工作登录名。其他所有内容都以您从未输入的随机密码形式存在于管理器中。
局限性
- 单词列表是英文的。对于非英语使用者来说，由英语单词组成的密码并不弱，但会更难记住，这是最重要的。
- 熵图描述的是设置，而不是您面前的特定密码。偶然的情况下，任何单一结果都可能看起来有意义。
- 此页面无法告诉您您将要使用的网站是否正确存储密码。当数据库泄漏时，纯文本数据库中的完美强密码仍然会暴露。
- 某些登录表单会默默地截断长输入或删除空格。如果密码短语在更改密码后停止工作，这是常见原因。
- 离合诗总是会削弱力量。之所以提供它，是因为您实际使用的令人难忘的密码比您每月重置的更强的密码短语要好，但交易是真实的并且页面会显示它。