Penjana Kata Laluan Rawak
Jana kata laluan rawak yang selamat dengan kawalan terperinci terhadap jenis aksara
🔒 Semua kata laluan dijana secara setempat dalam penyemak imbas anda dan tidak pernah disimpan atau dihantar.
Jenis Aksara
Keperluan Minimum
Sejarah Kata Laluan
⚠️ Sejarah kata laluan hanya disimpan untuk sesi ini. Memuat semula halaman akan memadam semua kata laluan yang dijana.
Tiada kata laluan dijana lagi
Panduan terperinci
Kata laluan rawak: panjang, set aksara dan sejauh mana ia benar-benar kuat
Cara penjana membina kata laluan dengan crypto.getRandomValues, cara mengira entropi daripada panjang dan set aksara, apa yang diukur (dan tidak diukur) oleh bar Kekuatan, dan apa kata NIST tentang panjang kata laluan.
Angka utama sepintas lalu
- Sumber rawak
crypto.getRandomValues()- Penjana rawak berkekuatan kriptografi dalam pelayar, bukan Math.random().
- Sumber: MDN
- Julat panjang
- 4 hingga 128 aksara
- Peluncur bermula pada 25.
- Kolam aksara apabila semua jenis ditandakan
- 88 aksara
- 26 huruf besar + 26 huruf kecil + 10 digit + 26 simbol.
- Entropi kata laluan rawak
- panjang × log₂(saiz kolam) bit
- 25 aksara daripada 88 memberi kira-kira 161.5 bit.
- Minimum NIST untuk kata laluan yang digunakan bersendirian
- Sekurang-kurangnya 15 aksara
- SP 800-63B-4. Kata laluan yang hanya sebahagian daripada log masuk berbilang faktor boleh lebih pendek tetapi tidak kurang daripada 8.
- Sumber: NIST
Bagaimana kata laluan dibina
Penjana ini bekerja dalam empat langkah, semuanya dalam pelayar anda:
- Ia membina kolam daripada jenis yang anda tandakan:
A–Z,a–z,0–9dan 26 simbol!@#$%^&*()_+-=[]{}|;:,.<>?. - Ia menambah dahulu bilangan minimum bagi setiap jenis yang anda minta.
- Ia mengisi baki panjang dengan aksara yang dipilih secara rawak daripada keseluruhan kolam.
- Ia mengocok semuanya, supaya aksara wajib tidak berada di bahagian depan.
Setiap pilihan rawak menggunakan crypto.getRandomValues(), penjana rawak berkekuatan kriptografi dalam pelayar. Pengocokan juga menggunakannya. Halaman ini tidak menjana apa-apa di pelayan, dan senarai sejarah 10 kata laluan terakhir hanya wujud dalam memori sehingga anda menyegarkan halaman.
Entropi: nombor yang penting
Jika setiap aksara dipilih secara seragam dan rawak daripada kolam N aksara, kata laluan sepanjang L mempunyai L × log₂(N) bit entropi. Setiap tambahan satu bit menggandakan bilangan tekaan yang diperlukan penyerang.
| Panjang | Digit sahaja (10) | Huruf kecil (26) | Huruf + digit (62) | Semua empat jenis (88) |
|---|---|---|---|---|
| 8 | 26.6 bit | 37.6 bit | 47.6 bit | 51.7 bit |
| 12 | 39.9 bit | 56.4 bit | 71.5 bit | 77.5 bit |
| 16 | 53.2 bit | 75.2 bit | 95.3 bit | 103.4 bit |
| 20 | 66.4 bit | 94.0 bit | 119.1 bit | 129.2 bit |
| 25 | 83.0 bit | 117.5 bit | 148.9 bit | 161.5 bit |
Panjang mengatasi kepelbagaian. Kata laluan 16 aksara huruf kecil sahaja (75.2 bit) lebih kuat daripada kata laluan 8 aksara yang menggunakan semua empat jenis (51.7 bit). Menambah dari 12 ke 16 aksara memberi lebih banyak daripada sekadar menghidupkan simbol.
Angka ini ialah had atas. Menetapkan minimum bagi setiap jenis membuang sebahagian kecil kata laluan yang mungkin, jadi entropi sebenar sedikit lebih rendah, yang tidak penting pada panjang biasa.
Apa yang diukur oleh bar Kekuatan
Bar ini bukan anggaran entropi. Ia skor ringkas: 2 mata bagi setiap aksara (dihadkan 50), ditambah 12.5 mata bagi setiap jenis yang ada (kecil, besar, digit, simbol). Di bawah 30 ialah Lemah, di bawah 50 Sederhana, di bawah 75 Kuat, dan 75 ke atas Sangat Kuat.
- 12 aksara dengan empat jenis mendapat 74, jadi ia menunjukkan Kuat, bukan Sangat Kuat. 16 aksara dengan empat jenis mendapat 82 (Sangat Kuat).
- Kata laluan 4 aksara dengan empat jenis mendapat 58 dan menunjukkan Kuat, walaupun entropinya hanya kira-kira 26 bit. Anggap bar ini panduan kasar dan semak sendiri panjangnya.
Apa kata NIST
NIST SP 800-63B-4 (panduan AS yang diikuti banyak organisasi) menyatakan kata laluan yang digunakan bersendirian hendaklah sekurang-kurangnya 15 aksara, dan perkhidmatan hendaklah menerima sekurang-kurangnya 64. Ia meminta perkhidmatan tidak mengenakan peraturan gubahan (seperti "satu simbol diwajibkan") dan tidak memaksa pertukaran berkala melainkan ada bukti kompromi. Ia juga meminta kata laluan baharu disemak terhadap senarai nilai yang telah bocor atau lazim. Medan minimum dalam alat ini wujud kerana sesetengah laman masih menguatkuasakan peraturan gubahan.
Petua: Untuk apa-apa yang tidak perlu ditaip dari ingatan, gunakan kata laluan rawak yang panjang dalam pengurus kata laluan dan hidupkan pengesahan dua faktor jika ada. Gunakan kata laluan berbeza untuk setiap akaun.
Kes khas
- Nyahtanda satu jenis tetapi tetapkan minimumnya melebihi 0. Aksara minimum tetap diambil daripada jenis itu, jadi kata laluan akan mengandunginya. Tetapkan minimum kepada 0 untuk mengecualikan jenis itu.
- Minimum yang jumlahnya melebihi panjang melumpuhkan butang Jana dengan mesej ralat.
- Laman yang menolak simbol. Nyahtanda simbol dan tambah panjang. 20 huruf dan digit (119.1 bit) mengalahkan 12 aksara dengan simbol (77.5 bit).
- Menyalin. Butang Salin menggunakan papan keratan pelayar. Pengurus papan keratan pada peranti anda mungkin menyimpan salinan, jadi kosongkannya selepas menampal ke dalam pengurus kata laluan.
Kesilapan biasa
- Mempercayai bar Kekuatan lebih daripada panjang. Kata laluan pendek pun boleh mendapat "Kuat".
- Menggunakan semula kata laluan yang dijana di beberapa laman.
- Mengubah kata laluan yang dijana supaya mudah diingat. Itu menghilangkan sifat rawaknya.
- Membiarkan halaman terbuka pada komputer kongsi dengan sejarah masih dipaparkan.
Alat berkaitan
- Pengekod Base64 — mengekod teks untuk penghantaran (ini bukan penyulitan).
- Penyemak tamat tempoh JWT — baca masa tamat token log masuk.
- Pembersih salin-tampal — buang pemformatan tersembunyi daripada teks yang ditampal.
Soalan Lazim
Berapa panjang kata laluan saya?
Kami mengesyorkan sekurang-kurangnya 16–25 aksara untuk keselamatan kukuh. Kata laluan yang lebih panjang jauh lebih sukar dipecahkan. Untuk akaun yang sangat sensitif seperti perbankan, pertimbangkan 30 aksara atau lebih.
Adakah kata laluan yang dijana benar-benar rawak?
Ya. Penjana menggunakan crypto.getRandomValues() untuk menghasilkan rawak yang selamat dari segi kriptografi, lebih selamat daripada fungsi rawak matematik biasa.
Adakah kata laluan saya disimpan di mana-mana?
Tidak. Semua kata laluan dijana dalam penyemak imbas anda dan tidak dihantar ke pelayan. Sejarah kata laluan hanya disimpan dalam sesi semasa dan hilang apabila halaman ditutup atau dimuat semula.
Patutkah saya memasukkan aksara khas dalam kata laluan?
Ya. Aksara khas meningkatkan kekuatan kata laluan dengan menambah kemungkinan gabungan. Namun, sesetengah sistem mungkin tidak menerima aksara tertentu, jadi semak keperluan perkhidmatan tersebut.
Apakah panjang minimum kata laluan yang patut digunakan?
Minimum mutlak ialah 12 aksara, tetapi 16–25 aksara disyorkan untuk keselamatan yang baik. Kata laluan lebih panjang sentiasa lebih baik.
Bagaimanakah saya mengingati kata laluan yang rumit?
Gunakan pengurus kata laluan untuk menyimpan kata laluan dengan selamat. Antara pilihan popular ialah 1Password, LastPass, Bitwarden dan Dashlane. Jangan tulis kata laluan atau simpan dalam fail teks biasa.
Berapa kerap saya patut menukar kata laluan?
Tukar kata laluan serta-merta jika anda mengesyaki ia telah terdedah. Bagi akaun biasa, menukarnya setiap 6–12 bulan munasabah, tetapi menggunakan kata laluan unik dan kukuh bagi setiap akaun lebih penting daripada menukarnya dengan kerap.
Bolehkah saya menggunakan kata laluan yang sama untuk beberapa akaun?
Jangan sekali-kali gunakan semula kata laluan untuk akaun berlainan. Jika satu akaun terjejas, akaun lain yang menggunakan kata laluan sama turut berisiko. Gunakan pengurus kata laluan untuk mengekalkan kata laluan unik bagi setiap perkhidmatan.
Apakah kegunaan keperluan minimum?
Keperluan minimum memastikan kata laluan mengandungi gabungan jenis aksara yang seimbang. Sesetengah laman web mewajibkan sekurang-kurangnya satu huruf besar, satu nombor dan satu aksara khas; tetapkan nilai minimum ini mengikut keperluannya.
Sumber rujukan
- NIST SP 800-63B-4 — Authentication and Authenticator Management — Section 3.1.1: length, composition rules, blocklists, periodic changes.
- MDN — Crypto: getRandomValues()
Panduan ini menerangkan peraturan yang diterbitkan dalam bahasa mudah. Ia bukan nasihat kewangan, undang-undang atau rasmi — peraturan boleh berubah, jadi sahkan dengan agensi yang dipautkan di atas sebelum membuat keputusan.