Generator haseł

Ludzie wymyślają hasła według przewidywalnych wzorców: imię i rok urodzenia, wielka litera na początku, wykrzyknik na końcu. Programy do łamania haseł sprawdzają takie wzorce w pierwszej kolejności. Losowe hasło żadnego wzorca nie ma.

Ten generator losuje każdy znak przez kryptograficzny generator wbudowany w przeglądarkę. Wszystko dzieje się na Twoim urządzeniu, więc hasło nie trafia na serwer. Długość i grupy znaków dopasujesz do wymagań serwisu, a wskaźnik pod hasłem pokaże, ile jest ono warte.

1. Ustaw długość od 8 do 64 znaków suwakiem, w polu liczbowym albo jednym z przycisków 12, 16, 20 i 32 znaków.
2. Wybierz grupy znaków: małe litery, wielkie litery, cyfry i znaki specjalne. Przynajmniej jedna grupa musi zostać włączona.
3. Zostaw włączoną opcję Co najmniej jeden znak z każdej grupy, jeśli serwis wymaga na przykład cyfry i znaku specjalnego. Opcja Bez znaków łatwych do pomylenia pomija i, l, I, O, 0 i 1, co przydaje się przy przepisywaniu hasła z kartki lub ekranu.
4. Kliknij Kopiuj hasło i wklej je w formularzu albo w menedżerze haseł. Nowe hasło losuje kolejne z tymi samymi ustawieniami.

Cyfry w haśle mają niebieski odcień, a znaki specjalne szary. Dzięki temu łatwiej odróżnić na przykład literę S od cyfry 5, gdy hasło trzeba przepisać.

Siłę losowego hasła mierzy się entropią, czyli liczbą bitów niepewności. Każdy bit podwaja liczbę kombinacji, które trzeba sprawdzić. Entropia hasła to długość pomnożona przez logarytm o podstawie 2 z liczby znaków w puli. Wzór działa tylko dla haseł losowanych równomiernie, takich jak te z generatora. Dla hasła wymyślonego przez człowieka daje wynik mocno zawyżony.

Tabela pokazuje entropię hasła o długości 16 znaków przy różnych grupach:

Wskaźnik w narzędziu ma pięć poziomów: poniżej 45 bitów hasło jest słabe, od 45 średnie, od 60 dobre, od 80 silne, a od 100 bitów bardzo silne.

Długość czy złożoność

Długość działa mocniej niż dokładanie grup znaków. Hasło z 20 małych liter ma 94 bity entropii, a hasło z 8 znaków ze wszystkimi grupami tylko 51. Dla porównania: wszystkich 208 miliardów haseł z 8 małych liter komputer sprawdzający miliard kombinacji na sekundę przejrzy w około 3,5 minuty. Przy 16 znakach ze wszystkich grup ta sama maszyna potrzebowałaby ponad 100 bilionów lat.

Amerykański instytut NIST opublikował w sierpniu 2025 roku nową wersję wytycznych SP 800-63B, z których korzysta wiele firm i instytucji. Najważniejsze zalecenia dotyczące haseł:

• hasło, które jest jedynym zabezpieczeniem konta, ma mieć co najmniej 15 znaków, a przy logowaniu dwuskładnikowym co najmniej 8,
• serwisy powinny przyjmować hasła o długości co najmniej 64 znaków,
• serwisy nie powinny wymagać mieszania grup znaków ani okresowej zmiany hasła,
• hasło trzeba zmienić, gdy są dowody, że mogło wyciec.

Domyślne 16 znaków w generatorze spełnia te wymagania. Hasło główne do menedżera haseł, którego nie da się zastąpić innym zabezpieczeniem, warto wydłużyć do 20 znaków lub więcej.

Do sieci domowej przyda się generator haseł Wi-Fi, który od razu tworzy kod QR do połączenia, a do zabezpieczenia telefonu czy karty generator PIN.

Źródłem losowości jest funkcja crypto.getRandomValues z Web Crypto API. Specyfikacja wymaga, żeby była to kryptograficznie bezpieczna funkcja losująca, więc kolejnych wartości nie da się przewidzieć, nawet znając poprzednie.

Wszystkie znaki z wybranych grup trafiają do jednej puli, a każdy znak hasła jest z niej losowany z takim samym prawdopodobieństwem. Losowa liczba z 32 bitów nie dzieli się zwykle równo przez wielkość puli, więc wartości z niepełnego końcowego zakresu są odrzucane i losowane ponownie. Bez tego pierwsze znaki puli wypadałyby minimalnie częściej:

function randomInt(max) {
    const limit = Math.floor(2 ** 32 / max) * max;
    const buffer = new Uint32Array(1);
    do {
        crypto.getRandomValues(buffer);
    } while (buffer[0] >= limit);
    return buffer[0] % max;
}

Gdy włączona jest opcja „co najmniej jeden znak z każdej grupy”, generator losuje całe hasło od nowa, aż spełni ten warunek. Nie podmienia pojedynczych znaków na wybranych pozycjach, bo to tworzyłoby wzorzec. Więcej o różnicy między generatorami pseudolosowymi a kryptograficznymi przeczytasz w artykule o generatorach liczb pseudolosowych.