如何選擇密碼
為什麼隨機比聰明、您需要多少個單字、長度範圍和分隔符號真正發生了什麼變化，以及何時隨機密碼是更好的工具。
唯一讓密碼變得強大的因素是你沒有選擇它
這就是整個想法，值得直言不諱，因為幾乎每個密碼建議都掩蓋了它。密碼短語的強度與該過程可能產生的同等可能密碼短語的數量成正比。如果機器從 7,776 清單中統一選取 6 個單詞，則該數字為 7,776 的六次方。如果一個人選擇了六個感覺隨機的單詞，那麼這個數字就會小得多，因為人們並不是統一的採樣者，而且從來都不是。
隨意詢問某人一種動物，你會比土豚更頻繁地聽到狗、貓或獅子。要求隨機的四位數字和 1234 以及以 19 開頭的年份的比例嚴重過高。破解軟體正是建立在這些規律之上的：它不按字母順序猜測，而是按可能性順序猜測，而人類的選擇位於隊列的前面。
所以這個頁面的價值不在於文字。你和其他任何人都不會影響哪些內容的出現。
為什麼預設是六個字
EFF 長列表中的六個單字是電子前沿基金會自己對該清單的推薦，並且該工具默認為該列表。每個單字貢獻大約 12.9 bits，因此其中六個大約相當於 77 bits — 足以讓每秒進行一萬億次猜測的離線攻擊者仍會搜索極長的時間，而短語本身仍然足夠短以進行排練。
關於 64 bits 的五個字是資源充足的離線攻擊不再是理論的關鍵。對於您不太關心的帳戶來說，這是一個合理的選擇，但對於保護其他事物的任何帳戶來說，這是一個糟糕的選擇。
對於保護其他一切的兩三個密碼來說，七到八個單字是值得的：解鎖密碼管理器、裝置登入、電子郵件帳號的密碼。這些是您需要經常輸入以學習的密碼短語，也是那些妥協成本最高的密碼短語。
超過八個字的價值就會急劇下降。那時，密碼已經遠遠超出了任何猜測攻擊的範圍，而現實的威脅——網絡釣魚頁面、機器上的惡意軟體、以純文本形式存儲密碼的運行不良的網站——並不關心它有多長。
使用哪個單字列表
長列表包含 7,776 個單字（六個骰子，每組五個骰子），並且是預設列表，因為每個單字都具有最大的強度：大約 12.9 bits。其字較長，有幾句晦澀難懂，這就是你做的交易。
短列表包含 1,296 個字，每個單字約 10.3 bits。這些單字更常見，輸入速度也更快，如果您要在遊戲機或電視遙控器上輸入密碼，這一點很重要。因為每個單字的價值都比較低，所以您大約需要七到八個單字才能匹配長列表中的六個單字。
第三個清單的大小與短列表相同，但經過選擇，以便沒有單字成為任何其他單字的前綴，並且前三個字母唯一地標識該單字。對於具有自動完成功能或使用笨拙鍵盤的設備來說，這確實很方便，而且與普通的短列表相比，它不需要花費任何精力。
列表越大不一定越好。重要的是單字的數量乘以每個單字的強度，並且帶有一兩個額外單字的簡短清單可以達到相同的位置。
進階選項實際上改變了什麼
在繪製任何單字之前，最小和最大單字長度會過濾列表。這是一個真正的交易：將範圍縮小到五到九個字母可以使結果更易於閱讀和輸入，但它也縮小了每個單字的來源池，因此每個單字的強度略低。頁面上的熵數字是根據過濾池計算的，而不是完整列表，因此它已經反映了您選擇的任何內容。
分隔符號改變單字的連接方式。空格讀起來最好，也是大多數人認為最容易重新鍵入的內容，但某些登入表單會修剪或拒絕空格，這就是提供連字符和底線的原因。選擇隨機選項會從五個字元中為每個間隙選擇一個新的分隔符，這會增加少量的實際強度 - 每個間隙大約 2.3 bits - 併計入所示的圖中。
存在大小寫選項是因為許多網站仍然要求大寫字母。小寫、大寫、首字母大寫和交替都是固定的規則：知道規則的攻擊者從中得不到任何好處，因此它們都不會增加力量。隨機選項是不同的 - 每個字都是獨立的大寫或小寫，每個字恰好添加一位並進行計數。
離合詩限制每個單字以您選擇的字母開頭，因此首字母可以拼寫一些內容。它是一種記憶輔助工具，但需要消耗體力：每個單字不是從整個單字庫中提取，而是從以該字母開頭的較小的集合中提取。該頁面會重新計算您輸入的字母的熵，並且它會清楚地告訴您當前列表中是否沒有單字以及長度範圍以其中之一開頭。
密碼還是隨機密碼？
使用人們必須記住並輸入的密碼短語：密碼管理器自己的主密碼、裝置登入名稱、磁碟加密金鑰、您需要從沒有密碼管理器的電腦存取的帳戶。
在其他地方使用隨機密碼——如果你正確使用管理器，這種密碼幾乎無所不在。你永遠不會輸入這些內容，所以記憶性並不能帶來任何好處，二十個隨機字元比同等的密碼短語在更少的擊鍵中提供了更多的力量。
從大約 80 個符號的混合字母表中抽取的 20 個字元的隨機密碼大約值 126 bits，這比長列表中的 8 個單字要輕鬆得多。此頁面也會在「進階選項」下的隨機密碼部分產生這些密碼。
兩者都在同一個地方是有原因的：正確的答案取決於是否由人或程序進行打字，這是一個值得每次詢問而不是一次性解決的問題。
好好利用结果
還有一個值得養成的習慣：當有理由（違規通知、共享設備、懷疑）時更改密碼，而不是在日曆上更改。強制定期輪換可靠地產生較弱的密碼，因為人們透過在末尾增加一個數字來應對它。
- 使用“複製”按鈕複製它，而不是選擇文本，因此兩端都不會丟失或修剪任何內容。
- 將其直接貼到密碼管理器中，然後再將其貼到其他地方。永遠不會到達經理的密碼是您最終將重設的密碼。
- 將其用於一個帳戶，僅此而已。重複使用會將一個網站的違規行為變成所有帳戶的問題，而再多的熵也無濟於事。
- 不要添加令人難忘的調整——你的出生年份、網站名稱、感嘆號——使其感覺更個性化。這些添加正是猜測軟體首先擴展的內容，它們消除了您來到這裡的隨機性。
- 如果網站因密碼太長或包含空格而拒絕密碼，請將其縮短一個單字或切換分隔符，而不是手動發明替代品。
你產生的東西會發生什麼
ToolAcre 在您的瀏覽器中本機產生密碼。對於高度敏感的環境，請在使用任何基於 Web 的密碼產生器之前驗證您的瀏覽器、裝置和作業系統是否可信。
- 每個密碼短語和密碼都是由瀏覽器自己的加密隨機數產生器在瀏覽器標籤中產生的。頁面載入後，不涉及任何伺服器。
- 這裡產生的任何內容都不會發送到 ToolAcre。該產品的內容安全策略將頁面限制為其自己的來源，因此瀏覽器本身會阻止任何將資料發送到其他地方的嘗試。
- 本機儲存、會話儲存、cookie、瀏覽器內資料庫、網址列或瀏覽器控制台中不會寫入任何內容。重新載入會丟棄它；關閉選項卡將丟棄它。
- 沒有帳戶，沒有登錄，沒有分析腳本，也沒有廣告腳本。唯一下載的檔案是靜態單字列表。
- 沒有保留任何歷史記錄。再次產生替換該值，先前的值不可恢復。
問題
同一個單字可以在一個密碼短語中出現兩次嗎？
是的，這是正確的而不是錯誤。每個單字都是從整個合格池中獨立抽取的。刪除重複項將使結果看起來更整潔，同時悄悄減少可能的密碼短語的數量，因此熵值會誇大強度。
我應該添加數字和符號來滿足需要它們的網站嗎？
如果網站堅持，請以固定、無聊的方式附加它們——每次都使用相同的後綴——並且不要將它們計入強度。為隨機密碼添加可預測的修飾幾乎不需要任何成本，也幾乎沒有任何收益。如果可以的話，請將分隔符號切換為標點符號，這通常可以滿足規則。
短列表中較長的密碼是否與長列表中較短的密碼一樣好？
是的。強度是字數乘以每個字所攜帶的位數。候選名單中的八個字是關於 82 bits 的；長列表中的六個是關於 77 的。重要的是產品，而不是它來自哪個清單。
每個單字的第一個字母大寫是否會使其更強大？
不，這是一個固定的規則，所以任何猜測的人都可以應用相同的規則。只有隨機情況選項會增加強度，因為每個單字的選擇都是實際的硬幣翻轉，並且頁面將其計為每個單字一位。
我實際上需要記住多少個密碼？
通常是三到四個：解鎖密碼管理器、裝置登入名稱、電子郵件帳戶，也許還有工作登入名稱。其他所有內容都以您從未輸入的隨機密碼形式存在於管理員中。
限制
- 單字列表是英文的。對於非英語使用者來說，由英語單字組成的密碼並不弱，但會更難記住，這是最重要的。
- 熵圖描述的是設置，而不是您面前的特定密碼。偶然的情況下，任何單一結果看起來都有意義。
- 此頁面無法告訴您將要使用的網站是否正確儲存密碼。當資料庫洩漏時，純文字資料庫中的完美強密碼仍然會暴露。
- 某些登入表單會默默地截斷長輸入或刪除空格。如果密碼短語在更改密碼後停止工作，這是常見原因。
- 離合詩總是會削弱力量。之所以提供它，是因為您實際使用的令人難忘的密碼比您每月重置的更強的密碼短語要好，但交易是真實的並且頁面會顯示它。