Generator haseł

Jak to działa

Losowość pochodzi z kryptograficznego źródła przeglądarki, które istnieje właśnie dla wartości niemożliwych do odgadnięcia. Zwykła funkcja losująca w JavaScripcie się nie nadaje: jest przewidywalna dla każdego, kto zobaczył dość jej wyników.

Każdy znak jest losowany równomiernie z wybranego zestawu. Zwykła reszta z dzielenia faworyzowałaby najniższe wartości, gdy zestaw nie dzieli się równo, dlatego najwyższe wylosowane wartości są odrzucane i losowane ponownie.

Entropia mierzy, ile prób potrzeba do odgadnięcia hasła, wyrażone jako potęga dwójki. Dotyczy haseł losowanych w ten sposób. Hasło wymyślone samodzielnie niemal zawsze ma mniejszą entropię, niż sugeruje jego długość, bo język i klawiatura wpływają na wybory bardziej, niż się wydaje.

Długość ma większe znaczenie niż zestaw znaków. Wydłużenie hasła z dwunastu do szesnastu znaków daje więcej niż dodanie symboli, a takie hasło łatwiej wpisać.

Opcja unikania podobnych znaków usuwa zero, wielkie O i małe o, jedynkę, wielkie I, małe l oraz kreskę pionową. Kosztuje to trochę entropii, ale warto, gdy hasło trzeba przeczytać na głos lub wpisać ręcznie na innym urządzeniu, na przykład na telewizorze albo konsoli.

Nic, co tu powstaje, nie opuszcza twojej przeglądarki, a strona niczego nie zapisuje. Zamknij kartę, a hasła znikną.

Jak działa narzędzie

Zestaw znaków powstaje z wybranych grup: 26 małych liter, 26 wielkich, 10 cyfr i 25 symboli, razem 87. Opcja unikania podobnych znaków usuwa siedem z nich i zostawia 80. Każdy znak jest losowany osobno funkcją crypto.getRandomValues. 32-bitowa liczba losowa ma 4 294 967 296 możliwych wartości, a 16 najwyższych jest odrzucanych i losowanych ponownie, tak aby reszta dzieliła się dokładnie przez 87 i każdy znak był tak samo prawdopodobny.

Entropia to długość pomnożona przez logarytm o podstawie 2 z wielkości zestawu. Dwadzieścia znaków z 87 daje 20 × 6,443 = 128,86 bitu, co narzędzie pokazuje jako 129. Bez podobnych znaków to 20 × 6,322 = 126,4 bitu. Skala pod wynikiem nazywa wszystko poniżej 50 bitów słabym, poniżej 75 średnim, poniżej 110 silnym, a resztę bardzo silnym.

Długość czy symbole

Według liczb samego narzędzia 12 znaków ze wszystkich 87 daje 77 bitów, 16 znaków bez symboli, czyli z 62, daje 95 bitów, a 16 znaków z symbolami 103 bity. Cztery dodatkowe znaki dają 26 bitów, a symbole 8. Czternaście znaków, czyli minimum zalecane przez CERT Polska, daje 90 bitów ze wszystkich grup i 83 bity bez symboli.

Co radzą instytucje

CERT Polska w rekomendacjach, które w czerwcu 2025 roku zaktualizował, podnosząc minimalną długość hasła z 12 do 14 znaków, zaleca limit długości nie mniejszy niż 64 znaki, blokowanie haseł z listy słabych i często używanych, brak dodatkowych wymogów złożoności, takich jak znaki specjalne, cyfry czy wielkie litery, i brak wymuszonej okresowej zmiany hasła. Za najbardziej oczywisty sposób na silne hasło uznaje wylosowanie bardzo długiego ciągu znaków i zapisanie go w menedżerze haseł.

W Stanach Zjednoczonych NIST SP 800-63B w wersji 4 z lipca 2025 roku mówi, że usługi muszą wymagać co najmniej 15 znaków, gdy hasło jest jedynym składnikiem uwierzytelniania, i co najmniej 8, gdy towarzyszy mu inny składnik, powinny dopuszczać co najmniej 64 znaki, muszą pozwalać na menedżery haseł i nie mogą wymagać mieszania rodzajów znaków ani okresowej zmiany. Długość haseł w narzędziu wynosi od 6 do 64 znaków.

Przypadki graniczne

Narzędzie nie gwarantuje, że w haśle znajdzie się każda wybrana grupa. Przy wszystkich czterech grupach mniej więcej co jedenaste hasło z 20 znaków nie ma co najmniej jednej z nich, a przy 8 znakach dotyczy to 51% haseł. Usługa, która wymaga np. cyfry, może wtedy odrzucić hasło. W takim razie utwórz nowe, zamiast ręcznie podmieniać znak. Odrzucanie haseł bez którejś grupy kosztuje przy 20 znakach tylko 0,14 bitu, a znak wybrany samodzielnie nie jest losowy.

Źródła

• CERT Polska – Kompleksowo o hasłach
• NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management

Jak sprawdzamy narzędzia