Adgangskodegenerator

Sådan virker det

Tilfældigheden hentes fra browserens kryptografiske kilde, der findes netop til værdier, som skal være umulige at gætte. Den almindelige tilfældighedsfunktion i JavaScript duer ikke: den er forudsigelig for den, der har set nok værdier.

Hvert tegn trækkes jævnt fra det valgte sæt. En simpel rest ville favorisere de laveste værdier, når sættet ikke går lige op, så de øverste trækninger kasseres og gøres om.

Entropien måler, hvor mange gæt der skal til, udtrykt som en topotens. Den gælder adgangskoder trukket på denne måde. En adgangskode, du selv har fundet på, har næsten altid lavere entropi, end længden antyder, da sprog og tastatur styrer valgene mere, end man tror.

Længden vejer tungere end tegnsættet. At gå fra tolv til seksten tegn giver mere end at tilføje specialtegn, og det er desuden lettere at skrive.

Valget om at undlade forvekslelige tegn fjerner nul, stort O og lille o, ettal, stort I, lille l og lodret streg. Det koster lidt entropi, men er det værd, når adgangskoden skal læses op eller tastes ind manuelt på en anden enhed, som et tv eller en spillekonsol.

Intet af det, der laves her, forlader din browser, og siden gemmer ingenting. Luk fanen, og adgangskoderne er væk.

Sådan regner værktøjet

Tegnsættet bygges af de grupper, du vælger: 26 små bogstaver, 26 store bogstaver, 10 cifre og 25 specialtegn, i alt 87. Valget om at undgå forvekslelige tegn fjerner syv af dem og efterlader 80. Hvert tegn trækkes for sig med crypto.getRandomValues. Et tilfældigt tal på 32 bit har 4.294.967.296 mulige værdier, og de 16 højeste kasseres og trækkes om, så resten går lige op i 87, og alle tegn bliver præcis lige sandsynlige.

Entropien er længden gange totalslogaritmen af sættets størrelse. 20 tegn ud af 87 giver 20 × 6,443 = 128,86 bit, som værktøjet viser som 129. Uden forvekslelige tegn bliver det 20 × 6,322 = 126,4 bit. Skalaen under resultatet kalder under 50 bit svag, under 75 acceptabel, under 110 stærk og resten meget stærk.

Længde eller tegn

Med værktøjets egne tal: 12 tegn ud af alle 87 giver 77 bit, 16 tegn uden specialtegn, altså ud af 62, giver 95 bit, og 16 tegn med specialtegn 103 bit. De fire ekstra tegn giver 26 bit, specialtegnene 8.

Hvad myndighederne råder til

Sikkerdigital.dk, som Styrelsen for Samfundssikkerhed står bag, definerer et stærkt kodeord som mindst 15 tegn med både store og små bogstaver og gerne tal eller specialtegn. Siden råder til ikke at bruge samme kodeord flere steder, at bruge to-trins-login, hvor det er muligt, og at holde styr på kodeordene med en passwordmanager. Amerikanske NIST siger i SP 800-63B, revision 4 fra juli 2025, at tjenester skal kræve mindst 15 tegn, når adgangskoden er eneste faktor, og mindst 8 sammen med en anden faktor, bør tillade mindst 64 tegn, skal tillade passwordmanagere og ikke må kræve blandede tegntyper eller regelmæssige skift. Værktøjets længder går fra 6 til 64 tegn.

Grænsetilfælde

Værktøjet garanterer ikke, at hver valgt gruppe er med i adgangskoden. Med alle fire grupper mangler omtrent hver ellevte adgangskode på 20 tegn mindst en af dem, og ved 8 tegn gælder det 51 % af adgangskoderne. En tjeneste, der for eksempel kræver et ciffer, kan så afvise adgangskoden. Lav i så fald hellere en ny end at bytte et tegn ud i hånden. At fravælge adgangskoder, der mangler en gruppe, koster ved 20 tegn kun 0,14 bit, men et tegn, du selv vælger, er ikke tilfældigt.

Kilder

• NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management
• Sikkerdigital.dk (Styrelsen for Samfundssikkerhed) – Brug stærke kodeord

Sådan kontrolleres værktøjerne