Что делает генератор
Создаёт случайные пароли длиной от 4 до 128 символов из выбранных наборов — заглавных и строчных букв, цифр и спецсимволов — и passphrase из 3–10 слов. Можно потребовать хотя бы один символ каждого типа, исключить похожие символы или запретить повторы.
Почему важна случайность
Пароли, придуманные человеком, следуют предсказуемым шаблонам: слова, даты, замены букв на цифры. Атакующие перебирают такие шаблоны в первую очередь. Здесь каждый символ выбирается криптографически стойким генератором браузера (crypto.getRandomValues) без смещения распределения, поэтому стойкость определяется только длиной и набором символов.
Пароль или passphrase
Случайный набор символов даёт максимум энтропии на символ и подходит для менеджера паролей. Passphrase — несколько случайных слов из словаря: она длиннее, но её проще запомнить и ввести вручную. Её стойкость считается по размеру словаря, а не по количеству букв: 6 слов из словаря в 7 600 слов дают около 77 бит.
Почему генерация локальная
Пароль, который побывал на чужом сервере, уже нельзя считать секретом. Поэтому Runstack генерирует пароли прямо в браузере: страница не делает сетевых запросов с паролем, а аналитика получает только факт использования инструмента.
Частые вопросы
Сохраняет ли Runstack сгенерированные пароли?
Нет. Пароль существует только на открытой странице: он не отправляется на сервер, не пишется в URL, cookies или localStorage и не попадает в аналитику. После закрытия вкладки его нигде нет.
Какой длины пароль выбрать?
Для учётных записей в менеджере паролей достаточно 16–24 случайных символов. Для мастер-пароля, который нужно запомнить, удобнее passphrase из 5–6 слов.
Зачем исключать похожие символы?
Если пароль придётся читать с экрана или бумаги и вводить вручную (например, Wi-Fi), символы вроде 0 и O или 1 и l легко перепутать. Энтропия при этом немного снижается — индикатор это учитывает.
Что означает оценка в битах?
Это теоретическая энтропия для паролей, созданных этим генератором случайно. Каждый бит удваивает число вариантов, которые пришлось бы перебрать. Для паролей, придуманных человеком, такая оценка неприменима.