Kode halaman ini tidak berjalan.

Membuka index.html langsung dari sebuah folder memblokir modul JavaScript, sehingga tidak akan terjadi apa-apa saat Anda memilih sebuah panjang. Sajikan folder tersebut lewat http sebagai gantinya: 

powershell -ExecutionPolicy Bypass -File serve.ps1

Lalu buka http://localhost:8080/.

Kata sandi dan frasa sandi — acak dan kuat, dibuat di peramban Anda

Dibuat di sini, oleh peramban Anda sendiri, dan tidak pernah dikirim ke mana pun. Tidak ada yang disimpan dan tidak ada riwayat.

Bahasa Indonesia
Lihat kode sumber
kata sandi dan frasa sandi Anda tidak pernah diunggah. Tidak ada server.

Setiap karakter datang dari crypto.getRandomValues, generator kriptografis milik peramban sendiri, dan setiap kata dari daftar yang ikut di folder ini sebagai src/wordlist.js. Tidak ada fetch, tidak ada XMLHttpRequest, dan tidak ada sendBeacon di mana pun di dalam src/, jadi tidak ada jalur kode yang bisa membuat kata sandi yang dibuat di sini sampai kepada kami atau siapa pun — dan tidak ada yang ditulis ke penyimpanan juga, jadi memuat ulang halaman ini menghancurkan setiap kata sandi yang pernah ditampilkannya kepada Anda.

Pemeriksaan langsung: memeriksa…

Luring: memeriksa…

Tidak perlu percaya begitu saja: buka DevTools, perhatikan tab Network, lalu tekan Buat lagi sebanyak yang Anda mau. Tidak satu pun permintaan membawa satu karakter pun dari hasilnya. Atau cabut koneksi internet dan teruslah membuat.

1 Pilih apa yang dibuat

Kata sandi adalah deretan karakter — pendek, kuat, dan sesuatu yang akan Anda simpan di pengelola kata sandi. Frasa sandi adalah kata-kata yang dipilih acak dari sebuah daftar — lebih panjang untuk diketik, jauh lebih mudah diingat dan dibacakan, dan jawaban yang tepat untuk segelintir rahasia yang harus Anda ketik dari ingatan: kata sandi utama pengelola kata sandi, laptop Anda, kode cadangan ponsel Anda.

2 Siapkan

Panjang Panjang mengalahkan segala yang lain. Menambah satu karakter pada alfabet sembilan puluh empat karakter lebih bernilai daripada aturan apa pun tentang karakter mana yang harus muncul di dalamnya.

Simbol yang mana Yang ini: . Spasi, kedua tanda kutip, aksen kuburan, dan garis miring terbalik sengaja ditinggalkan dari kedua himpunan — mereka seacak yang lain dan merekalah yang mengubah kata sandi yang berfungsi menjadi tiket dukungan.

Setidaknya satu karakter dari setiap himpunan Untuk formulir pendaftaran yang bersikeras. Itu membuat kata sandinya lebih lemah, bukan lebih kuat, karena menyingkirkan sebagian kata sandi yang tadinya mungkin — bacaan di bawah sudah menguranginya.

Tanpa karakter yang mirip Membuang I l 1 | dan O 0, untuk kata sandi yang harus dibaca dari layar dan diketik di tempat lain. Tambahkan satu dua karakter panjang untuk membayarnya.

Kata Empat kata adalah gambar yang terkenal itu dan berada di bawah yang layak dipakai hari ini. Enam adalah dasar yang masuk akal untuk apa pun yang penting, dan tujuh untuk kata sandi yang menjaga semua yang lain.

Daftar kata Daftar panjang adalah enam lemparan dadu per kata, jadi 12,9 bit masing-masing. Daftar pendek adalah empat lemparan, 10,3 bit masing-masing, dan setiap kata di dalamnya lima huruf atau kurang tanpa ada kata yang merupakan awalan kata lain — dan itulah yang dipakai untuk frasa sandi yang akan Anda ketik di remote televisi atau baca di layar ponsel.

Di antara katanya Angka acak adalah satu-satunya dari semua ini yang menambah sesuatu, karena ia adalah pilihan baru di setiap sambungan alih-alih sebuah aturan. Sisanya soal apa yang akan diterima kotak tempat Anda menempelkannya — spasi paling mudah dibaca dan paling mungkin dikacaukan.

Huruf besar Tidak satu pun dari ketiganya menambah kekuatan: mana yang berlaku adalah aturan yang bisa dibaca siapa pun dari halaman ini, jadi itu bukan sesuatu yang harus ditebak penyerang. Ia ada di sini untuk formulir yang menuntut huruf besar.

Akhiri dengan simbol Untuk formulir yang sama bersikerasnya. Angkanya adalah pilihan sungguhan dan bernilai 3,3 bit; simbolnya ditarik dari delapan dan bernilai 3.

20
Karakter yang ditarik

3 Ambil

Atau buat beberapa sekaligus Daftar yang diunduh adalah file teks biasa yang ditulis halaman ini dari yang sudah ada di layar Anda. Ia disimpan oleh peramban Anda, ke disk Anda sendiri, dan tidak ada yang mengirimnya ke mana pun — tapi file penuh kata sandi di disk tetaplah file penuh kata sandi di disk. Pindahkan ke pengelola kata sandi dan hapus file itu.

— bit entropi

Seorang penyerang harus menelusuri — kemungkinan untuk memastikan menemukannya.

Apa yang diandaikan perkiraan itu

Bahwa penyerang sudah mencuri file tempat kata sandi Anda disimpan dan menebaknya terhadap file itu di perangkat keras mereka sendiri pada seratus miliar tebakan per detik — kira-kira satu rak kartu grafis melawan hash yang cepat, jenis yang terus muncul di kebocoran. Melawan hash kata sandi yang dipilih dengan benar, bcrypt atau Argon2, perangkat keras yang sama hanya sanggup beberapa ribu per detik dan setiap jawaban di atas menjadi sekitar dua puluh lima bit lebih sulit. Melawan formulir masuk yang menjawab sepuluh kali per detik, semuanya tidak terjangkau.

Angkanya sengaja diambil yang pesimistis, dan itu jumlah tebakan untuk memastikan; serangan rata-rata menemukan jawabannya di separuhnya, dan itulah yang dipakai perkiraan di atas.

1

Tidak ada di sini yang diingat

Apa yang dibuat halaman ini tidak pernah disimpan, tidak pernah didaftarkan, dan tidak pernah dikirim. Tidak ada riwayat untuk dibersihkan karena tidak ada yang disimpan: muat ulang halamannya dan setiap kata sandi yang pernah ditampilkannya hilang, termasuk dari memori halaman ini sendiri. Satu-satunya salinan adalah yang Anda buat — papan klip, dan file teks kalau Anda memintanya.

Lihat sebagai Markdown

Cara membuat kata sandi yang kuat tanpa dilihat sebuah situs web
  1. Pilih kata sandi atau frasa sandi. Kata sandi adalah deretan karakter acak: pendek untuk disimpan, merepotkan untuk diketik, dan justru tepat untuk ratusan akun yang diisikan pengelola kata sandi Anda. Frasa sandi adalah kata-kata yang ditarik acak dari sebuah daftar: lebih panjang, tapi bisa diingat dan diucapkan, dan itulah yang Anda butuhkan untuk segelintir rahasia yang harus Anda ketik dari ingatan — kata sandi utama pengelola kata sandi itu sendiri, laptop Anda, kode pemulihan ponsel Anda.
  2. Tetapkan panjangnya, atau jumlah katanya. Inilah setelan yang penting dan yang lain sebagian besar tidak. Dua puluh karakter, atau enam kata, adalah dasar yang masuk akal untuk apa pun yang layak dilindungi; naikkan dari situ untuk akun yang bisa dipakai orang untuk menyetel ulang semua akun lain. Bacaan di bawahnya bergerak saat Anda menyeret, jadi Anda bisa melihat apa yang dibeli setiap karakter tambahan.
  3. Nyalakan aturan yang akan dipaksakan formulirnya. “Setidaknya satu dari masing-masing”, satu angka di akhir, satu simbol dari daftar pendek yang diterima setiap situs. Tidak satu pun dari ini membuat apa pun lebih kuat — yang pertama justru membuatnya sedikit lebih lemah, dan halaman ini sudah menguranginya — tapi itulah cara Anda lolos dari formulir pendaftaran tanpa membuat enam kali berturut-turut.
  4. Baca angkanya, bukan warnanya. Bit-nya dihitung dari setelan yang menghasilkan string itu: besarnya alfabet, jumlah tarikan, dan tidak lebih. Itu pengukuran sungguhan, tidak seperti meteran di halaman pendaftaran, yang hanya bisa menilai karakter di depannya dan tidak punya cara mengetahui apakah Anda yang memilihnya atau sebuah generator.
  5. Salin, dan taruh di suatu tempat, sebelum Anda pergi. Tidak ada riwayat di sini dan tidak ada cara memintanya kembali; memuat ulang halaman menghancurkannya. Tempelkan ke pengelola kata sandi lebih dulu dan ke formulir pendaftaran kemudian, supaya yang harus mengingatnya sudah memilikinya sebelum ada yang bisa salah.
  6. Ambil sekumpulan kalau Anda butuh. Penggeser di bagian bawah membuat sampai seratus sekaligus dan akan menyimpannya sebagai file teks biasa, ditulis oleh halaman ini dari yang sudah ada di layar Anda. Berguna untuk menyiapkan akun atau membagikan kredensial awal, dan layak dihapus begitu semuanya ada di tempat yang lebih baik: file penuh kata sandi di disk Anda tetaplah file penuh kata sandi.

Pertanyaan

Apakah kata sandinya dikirim ke suatu tempat, atau disimpan?

Tidak keduanya. Semuanya dibuat di peramban Anda, di perangkat keras Anda sendiri, dan alat ini tidak punya fitur jaringan dalam bentuk apa pun — ia tidak pernah mengambil apa pun dan tidak pernah mengirim apa pun. Tidak ada juga yang ditulis ke penyimpanan: tidak ada localStorage, tidak ada cookie, tidak ada riwayat. Muat ulang halamannya dan setiap kata sandi yang pernah ditampilkannya hilang, dari layar dan dari memorinya sendiri. Content-Security-Policy halaman ini menyebut satu per satu setiap alamat yang boleh dihubunginya dan tidak satu pun milik kami, jadi tidak ada tempat sebuah kata sandi bisa dikumpulkan bahkan kalau ada yang mencoba.

Dari mana keacakannya datang?

crypto.getRandomValues, generator yang disediakan peramban untuk keperluan kriptografis, ditaburi dan ditaburi ulang oleh kolam entropi milik sistem operasi Anda. Itu sumber yang sama yang dipakai peramban untuk bahan kunci TLS. Math.random tidak dipakai di mana pun di alat ini, dan pembedaan itu bukan sikap cerewet: Math.random adalah generator aritmetis cepat yang seluruh keadaan internalnya bisa direkonstruksi dari beberapa keluaran berurutan, jadi pembuat kata sandi yang dibangun di atasnya menghasilkan kata sandi yang tampak acak dan bisa dicacah oleh siapa pun yang pernah melihat salah satunya.

Apakah kata sandi yang dibuat di peramban sebaik yang dari program desktop?

Untuk keacakannya, ya — sumbernya sama-sama sistem operasi, hanya dicapai lewat pintu yang berbeda. Yang berbeda adalah apa lagi yang ada di ruangan itu. Sebuah tab peramban berjalan berdampingan dengan ekstensi Anda, dan ekstensi yang punya izin membaca halaman bisa membaca halaman ini. Itu berlaku untuk setiap pembuat kata sandi berbasis web termasuk yang ini, dan itulah alasan jujur untuk memakai generator bawaan pengelola kata sandi Anda kalau Anda punya: aritmetikanya sama, dalam proses yang lebih sedikit tetangganya. Halaman ini untuk saat Anda tidak punya yang siap pakai.

Kata sandi atau frasa sandi — saya sebenarnya harus pakai yang mana?

Kata sandi untuk segala yang diketikkan pengelola kata sandi untuk Anda, karena Anda tidak akan pernah melihatnya dan panjang itu gratis. Frasa sandi untuk segelintir hal yang harus Anda ketik dari ingatan atau bacakan: kata sandi utama pengelola kata sandi, kunci enkripsi disk, perangkat yang Anda siapkan dari jarak jauh. Enam kata dari daftar panjang adalah 77 bit, yang lebih kuat daripada kata sandi acak dua belas karakter dan jauh lebih mudah dibuat benar pada pukul empat pagi.

Seberapa panjang sebaiknya sebuah kata sandi?

Dua puluh karakter dari alfabet penuh kira-kira 130 bit dan sudah melewati titik di mana panjang berhenti menjadi hal yang perlu dikhawatirkan. Enam belas cukup. Dua belas adalah dasar untuk apa pun yang sayang kalau hilang, dan itu dasar, bukan sasaran. Di bawah itu Anda bergantung pada situsnya menyimpannya dengan benar, dan itu taruhan yang dua puluh tahun pemberitahuan kebocoran menyarankan agar tidak Anda ambil. Panjang mengalahkan setiap setelan lain di halaman ini; menambah satu karakter lebih bernilai daripada aturan apa pun tentang karakter mana yang harus muncul.

Berapa kata sebaiknya sebuah frasa sandi?

Enam dari daftar panjang, dan tujuh kalau ia menjaga kata sandi lain. Gambar empat kata yang terkenal itu dibuat pada 2011, bernilai 51 bit, dan hari ini sudah dalam jangkauan serangan luring yang serius. Lima adalah 64. Enam adalah 77, yang melewati apa pun yang akan dibelanjakan penyerang untuk satu akun biasa. Setiap kata tambahan dari daftar panjang menambah 12,9 bit, dan hanya kata-katanya yang menambah apa pun — tanda hubung dan huruf besarnya tidak.

Apa itu “bit”, dan kenapa halaman ini menghitungnya?

Satu bit adalah satu penggandaan. Enam puluh bit berarti ada 2^60 hasil yang sama-sama mungkin dihasilkan halaman ini, jadi penyerang yang tahu persis cara kerjanya tetap punya sebanyak itu untuk dicoba. Itu sifat prosesnya, bukan sifat string-nya: halaman ini bisa menyebutkannya dengan tepat karena ia yang melakukan pemilihan dan tahu berapa banyak pilihan yang dibuatnya. Itulah bedanya dengan batang berwarna di formulir pendaftaran, yang membaca karakternya lalu menebak. Di batang itu, correct horse battery staple bernilai buruk padahal bernilai 44 bit, dan P@ssw0rd! bernilai bagus padahal nyaris tidak bernilai apa pun.

Kenapa “harus mengandung simbol” justru membuat kata sandi lebih lemah?

Karena sebuah aturan hanya bisa membuang kemungkinan. Mensyaratkan setidaknya satu karakter dari setiap himpunan menyingkirkan setiap kata sandi yang kebetulan tidak punya satu pun, dan himpunan kata sandi yang lebih kecil berarti jumlah yang lebih kecil untuk dicari. Efeknya kecil — sekitar setengah bit pada panjang yang lazim — dan nyata, dan halaman ini menguranginya alih-alih menyebutkan angka yang lebih menyanjung. Itu dihitung dengan tepat, dengan mencacah kata sandi yang benar-benar diizinkan aturan itu, bukan yang tidak.

Daftar kata yang mana ini, dan apakah masalah kalau penyerang bisa mengunduhnya?

Ini daftar diceware milik Electronic Frontier Foundation, disertakan tanpa diubah: 7.776 kata untuk yang panjang dan 1.296 untuk yang pendek. Daftar itu dibangun justru untuk ini — tidak ada yang menyinggung, tidak ada homofon, tidak ada pasangan yang menyatu menjadi kata ketiga, dan di daftar pendek tidak ada kata yang merupakan awalan kata lain. Dan tidak, tidak masalah bahwa daftarnya publik: kekuatan yang disebutkan di sini mengandaikan penyerang memilikinya, sedang melihat sumber halaman ini, dan tahu setiap setelan yang Anda pakai. Satu-satunya yang tidak mereka tahu adalah kata mana dari 7.776 itu yang muncul setiap kali. Andaian itulah yang membuat angkanya bisa dipercaya.

Bukankah frasa sandi hanya serangan kamus yang menunggu terjadi?

Tidak kalau katanya dipilih dengan cara ini. Serangan kamus mempan terhadap frasa yang dipilih orang, karena orang memilih kata yang cocok satu sama lain, dalam urutan yang masuk akal, dari beberapa ribu kata yang mereka pakai sehari-hari. Halaman ini memilih setiap kata secara mandiri, seragam, dari daftar tetap, tanpa peduli apakah hasilnya enak dibaca — dan itulah sebabnya biasanya tidak. Penyerang yang tahu daftarnya dan panjangnya tetap menghadapi 7.776 pangkat jumlah katanya.

Bisakah saya mendapatkan kembali sebuah kata sandi setelah meninggalkan halaman ini?

Tidak, dan itu disengaja. Tidak ada yang dicatat di mana pun, jadi tidak ada yang bisa dipulihkan: tidak ada panel riwayat, tidak ada daftar “baru saja dibuat”, tidak ada singgahan. Generator yang bisa menunjukkan kata sandi Selasa lalu berarti generator yang menyimpannya, dan disimpan di tempat yang bisa Anda capai berarti disimpan di tempat yang bisa dicapai sesuatu yang lain. Salin ke pengelola kata sandi sebelum Anda beranjak.

Apakah menyalinnya ke papan klip aman?

Itu risiko biasa, dan layak diketahui alih-alih dicemaskan. Papan klip dipakai bersama oleh semua yang berjalan sebagai Anda, biasanya bertahan sampai penyalinan berikutnya, dan di sebagian penyiapan ia disinkronkan antar perangkat. Itu alasan bagus untuk segera menempelkannya di tempat yang seharusnya lalu menyalin sesuatu yang lain sesudahnya, dan bukan alasan untuk mengetik kata sandi yang lebih lemah dengan tangan. Halaman ini tidak bisa membaca papan klip Anda; ia hanya bisa menulis ke sana, dan hanya ketika Anda menekan tombolnya.

Bolehkah saya memakai yang sama di lebih dari satu tempat?

Tidak, dan itu satu-satunya nasihat di halaman ini yang mengalahkan semua yang lain di sini. Hampir setiap akun yang diambil alih diambil alih dengan kata sandi yang lebih dulu benar di tempat lain: sebuah situs bocor, daftarnya diterbitkan, dan alamat serta kata sandi yang sama dicoba di mana-mana. Kata sandi unik per situs mengubah sebuah kebocoran menjadi satu akun alih-alih semuanya, dan itulah alasan memelihara pengelola kata sandi — bukan kekuatan satu pun kata sandi yang disimpannya.

Apakah gratis, dan apakah saya perlu akun?

Gratis, tidak ada akun, tidak ada masuk, tidak ada masa uji coba, dan tidak ada batas berapa banyak yang Anda buat. Situs ini memasang iklan, dan itulah yang membiayainya; iklan sama sekali tidak diberi apa pun tentang yang dibuat halaman ini, termasuk berapa panjangnya atau seberapa kuat.

Apakah jalan tanpa internet?

Ya. Muat halamannya sekali, lalu putuskan koneksi internet, dan ia tetap membuat kata sandi. Keacakannya datang dari mesin Anda sendiri dan daftar katanya sudah ada di halaman. Itu juga cara paling sederhana untuk membuktikan tidak ada yang diambil atau dikirim: generator yang meminta angkanya dari sebuah server akan berhenti begitu Anda mencabut koneksi.