文字與日常工具·密碼產生器
為什麼「正確的馬電池主食」只有在單字是隨機的情況下才有效
· 為什麼它很重要
密碼 密碼 隨機性
這部著名的漫畫讓密碼短語變得流行，同時也催生了一個壞習慣——選擇自己的單字；這篇文章解釋了為什麼強度完全取決於從已知列表中隨機選擇。
每個人都記得的漫畫，而他們一半人錯過的教訓——四個常用詞只有在骰子選中時才強大
令人难忘的四字序列展示了一種格式，而不是選擇它的過程。 ToolAcre 的計算取決於每個位置從合格詞池接收獨立的統一索引。如果一個人選擇四個熟悉的單字，因為它們聽起來很有趣或形成一個場景，那麼可見的單字數量仍然是四個，而潛在的分佈會發生變化。
該存儲庫不使用喜劇或著名短語作為安全閾值的來源。它實現並測試隨機選擇例程。實際教訓是保留該例程，而不是複製公共範例或模仿其語法。文章中出現的任何短語都是已知的，不能成為憑證。
四個熟悉的單字並不是隨機選擇過程的證據
人類的選擇可能會偏愛最喜歡的物體、名稱、引文、語法順序和屬於在一起的單字。 ToolAcre 不會嘗試估計這些偏好，因此它不會對現有短語進行評分。呼叫相當於四次統一抽籤的自選序列會將生成器公式應用於從未發生過的過程。
隨機選擇仍然可以產生兩個恰好相關甚至重複的單詞，因為抽籤使用替換。編輯該輸出直到感覺更加隨機，從而引入了人類的偏好。誠實的程序是接受新的結果或產生一個全新的候選人，而不發布任何一個。
Kerckhoffs 的原則適用於單字列表 — 攻擊者可能知道整個 EFF 列表，並密碼短語保持強大
EFF 清單是公共靜態資產，這不會影響可能指數的計數。對於長列表，建置會驗證 7,776 條目。攻擊者可能知道每個單字、檔案的順序和所有設定；未知的部分是 Web Crypto 為此特定的私有輸出選擇了哪些獨立索引。
這種設計避免了「透過秘密單字清單實現安全」。這也意味著必須考慮過濾。如果使用者縮小允許的字長，則符合條件的池會變小，並熵函數將使用該實際池，而不是繼續引用 7,776。
公共單字清單仍然可用，因為輸入是隨機索引，而不是清單保密性
諸如“紅蘋果派切片”之類的短語帶有關聯和語法結構。此儲存庫不包含人們創建該模式的頻率的模型，因此它不分配數位搜尋空間。僅僅因為四個標記被空格分隔而將它們視為獨立的將忽略選擇證據。
ToolAcre 而是從相同合格清單中透過 `secureRandomChoice` 選擇每個單字。前一個字不會縮小下一個抽獎範圍。這種獨立性是程式碼路徑的屬性，而不是完整短語的視覺屬性。
相關詞揭示了該產生器未建模的人類過程
對於沒有過濾的四個產生的長列表單詞，有序輸出計數為 7,776⁴，因為四個位置中的每一個都可以接收任何列表索引。該計算可從已驗證的檔案大小內聯得出。此處，一個人創建的四字短語不會收到匹配的編號，因為其候選進程未指定。
這種比較故意避免了破解時間估計，並不列印產生的短語。它僅規定一個過程可以根據已知的統一選擇進行計數，而另一個則不能。帳戶的適用性仍然取決於目的地、裝置和更廣泛的威脅模型。
工作範例：將已知的統一產生器與未量化的人類短語進行對比
如果單字、順序、大小寫規則和分隔符號保持不變，則在選擇後可以建立助記故事。這個故事是一種記憶輔助手段，而不是用更好的字來取代的理由。發布故事或短語會洩露憑證，因此請將兩者保留在批准的處理流程中。
ToolAcre 本身不教授或測試助記方法。它提供英文單字和格式控制。某個結果能否被記住是個人的，儲存屬於管理者而不是這個頁面。
這不包括什麼——漫畫中的具體熵主張以及它們是如何計算的
本文不會重現漫畫中的特定熵宣告，因為漫畫不是提供用於驗證的儲存庫來源。它也沒有聲稱任何數量的單字都能擊敗每一次攻擊。網路釣魚、惡意軟體、重複使用和受損目的地仍然不在清單運算範圍內。
這個省略保留了一個有用的邊界：產生選擇數學可以直接根據程式碼和檔案進行檢查，而文化歷史和第三方宣告需要它們自己的主要來源。不應將兩者混合，因為格式看起來很熟悉。
重點－保持想法，放棄習慣；讓密碼產生器從 EFF 清單中選擇單字
保留多字憑證的想法，但讓經過審核的隨機過程選擇單字。 ToolAcre 使用經過驗證的 EFF 資產、網路加密貨幣和公正的指數。期望有公共詞彙；私人新鮮組合是必須保持未知的部分。
不要按主題選擇單字、修復尷尬的輸出或重複使用結果。一代人提供了一個候選人並忘記了它；管理、存儲和目的地政策發生在其他地方。強度計算遵循隨機過程，而不是最後一句話的魅力。