Генератор случайных паролей

В этой статье есть несколько проблем. Помогите улучшить ее или обсудите эти проблемы на странице обсуждения . ( Узнайте, как и когда удалять эти сообщения ) Данная статья , возможно, содержит оригинальное исследование .Пожалуйста, улучшите его, проверив сделанные заявления и добавив встроенные цитаты . Заявления, состоящие только из оригинальных исследований, должны быть удалены. ( август 2008 г. )( Узнайте, как и когда удалить это сообщение ) Для проверки данной статьи необходимы дополнительные цитаты .Пожалуйста, помогите улучшить эту статью , добавив ссылки на надежные источники . Неподтвержденный материал может быть оспорен и удален. Найти источники:  "Генератор случайных паролей" – новости  · газеты  · книги  · ученый  · JSTOR ( Апрель 2024 )( Узнайте, как и когда удалить это сообщение ) ( Узнайте, как и когда удалить это сообщение )

Генератор случайных паролей — это программное обеспечение или аппаратное устройство, которое принимает входные данные от генератора случайных или псевдослучайных чисел и автоматически генерирует пароль . Случайные пароли могут быть сгенерированы вручную, с использованием простых источников случайности, таких как игральные кости или монеты , или они могут быть сгенерированы с помощью компьютера.

Хотя в Интернете есть много примеров программ-генераторов «случайных» паролей, генерация случайности может быть сложной, и многие программы не генерируют случайные символы таким образом, чтобы обеспечить надежную безопасность. Распространенной рекомендацией является использование инструментов безопасности с открытым исходным кодом , где это возможно, поскольку они позволяют проводить независимые проверки качества используемых методов. Простая генерация пароля случайным образом не гарантирует, что пароль является надежным, поскольку возможно, хотя и крайне маловероятно, сгенерировать легко угадываемый или взламываемый пароль. На самом деле, нет никакой необходимости в том, чтобы пароль был создан совершенно случайным процессом: его просто должно быть достаточно сложно угадать.

Генератор паролей может быть частью менеджера паролей . Когда политика паролей устанавливает сложные правила, может быть проще использовать генератор паролей на основе этого набора правил, чем вручную создавать пароли.

Длинные строки случайных символов трудно запомнить большинству людей. Мнемонические хэши, которые обратимо преобразуют случайные строки в более запоминающиеся пароли, могут существенно улучшить простоту запоминания. Поскольку хэш может быть обработан компьютером для восстановления исходной 60-битной строки, он имеет по крайней мере столько же информационного содержания, сколько и исходная строка. ^[1] Аналогичные методы используются в спорте на память .

This section duplicates the scope of other articles, specifically Password strength. Please discuss this issue and help introduce a summary style to the section by replacing the section with a link and a summary or by splitting the content into a new article. (August 2018)

Генераторы случайных паролей обычно выводят строку символов указанной длины. Это могут быть отдельные символы из некоторого набора символов, слоги, предназначенные для формирования произносимых паролей, или слова из некоторого списка слов для формирования парольной фразы . Программу можно настроить так, чтобы гарантировать, что полученный пароль соответствует локальной политике паролей, например, всегда создавая смесь букв, цифр и специальных символов. Такие политики обычно немного снижают надежность ниже следующей формулы, поскольку символы больше не производятся независимо. ^{[ необходима цитата ]}

Надежность случайного пароля против конкретной атаки ( перебор методом полного перебора ) можно рассчитать, вычислив энтропию информации случайного процесса, который его произвел. Если каждый символ в пароле производится независимо и с одинаковой вероятностью, энтропия в битах определяется по формуле , где N — количество возможных символов, а L — количество символов в пароле. Функция log 2 _— это логарифм по основанию 2. H обычно измеряется в битах . ^{[2] [3]}${\textstyle H=L\,\log _{2}N}$

Любой генератор паролей ограничен пространством состояний используемого генератора псевдослучайных чисел, если он основан на нем. Таким образом, пароль, сгенерированный с помощью 32-битного генератора, ограничен 32-битной энтропией, независимо от количества символов, содержащихся в пароле. ^{[ необходима цитата ]}

В Интернете доступно большое количество программ и веб-сайтов для генерации паролей. Их качество различается и его трудно оценить, если нет четкого описания источника случайности, который используется, и если не предоставлен исходный код, позволяющий проверять заявления. Кроме того, и, вероятно, самое главное, передача паролей-кандидатов через Интернет вызывает очевидные проблемы безопасности, особенно если соединение с программой сайта генерации паролей не защищено должным образом или если сайт каким-либо образом скомпрометирован. Без безопасного канала невозможно предотвратить подслушивание, особенно в публичных сетях, таких как Интернет . Возможным решением этой проблемы является генерация пароля с использованием клиентского языка программирования, такого как JavaScript. Преимущество этого подхода заключается в том, что сгенерированный пароль остается на клиентском компьютере и не передается на внешний сервер или с него. ^{[ оригинальное исследование? ]}

Web Cryptography API — это рекомендация World Wide Web Consortium (W3C) для низкоуровневого интерфейса, который повысит безопасность веб-приложений , позволяя им выполнять криптографические функции без необходимости доступа к исходному ключевому материалу. Web Crypto API предоставляет надежный способ генерации паролей с использованием этого crypto.getRandomValues()метода. Вот простой код Javascript, который генерирует надежный пароль с использованием web crypto API. ^{[4] [5]}

Во многих компьютерных системах уже есть приложение (обычно называемое «apg») для реализации стандарта генератора паролей FIPS 181. ^[6] FIPS 181 — Автоматизированный генератор паролей — описывает стандартный процесс преобразования случайных битов (из аппаратного генератора случайных чисел) в несколько произносимые «слова», подходящие для парольной фразы. ^[7] Однако в 1994 году была обнаружена атака на алгоритм FIPS 181, так что злоумышленник может ожидать, что в среднем взломает 1% учетных записей, пароли которых основаны на алгоритме, после перебора всего 1,6 миллиона паролей. Это связано с неравномерностью распределения сгенерированных паролей, которую можно устранить, используя более длинные пароли или модифицируя алгоритм. ^{[8] [9]}

Еще один метод заключается в использовании физических устройств, таких как игральные кости, для генерации случайности. Один простой способ сделать это использует таблицу символов 6 на 6. Первый бросок кубика выбирает строку в таблице, а второй — столбец. Так, например, бросок 2, за которым следует бросок 4, выберет букву «j» из таблицы дробления ниже. ^[10] Для генерации символов верхнего/нижнего регистра или некоторых символов можно использовать подбрасывание монеты, орел — заглавная буква, решка — строчная. Если при броске кубика была выбрана цифра, подбрасывание орла может выбрать символ над ней на стандартной клавиатуре, например, «$» над «4» вместо «4».

	1	2	3	4	5	6
1	а	б	с	г	е	ф
2	г	час	я	дж	к	л
3	м	н	о	п	д	г
4	с	т	ты	в	ж	х
5	у	з	0	1	2	3
6	4	5	6	7	8	9

• Криптографически безопасный генератор псевдослучайных чисел
• Diceware
• Аппаратный генератор случайных чисел
• Размер ключа
• Мастер-пароль (алгоритм)
• Параметр длины пароля
• Менеджер паролей

• Криптографически безопасное случайное число в Windows без использования CryptoAPI из MSDN
• RFC 4086 по рекомендациям по случайности для безопасности (заменяет более ранний RFC 1750.)