Entropija je jedini broj koji je bitan
Jačina lozinke je broj pokušaja koji napadaču treba, a to određuje način na koji je napravljena, ne kako izgleda. Lozinka izabrana uniformno nasumično iz N mogućnosti ima log₂ N bitova entropije; svaki dodatni bit udvostručuje posao. Šesnaest nasumičnih znakova iz skupa od 94 simbola daje 16 × log₂ 94 ≈ 105 bitova. Pet nasumičnih reči iz liste od 6.032 reči daje 5 × 12.6 ≈ 63 bita, a daleko ih je lakše ukucati i zapamtiti.
Obrasci koje ljudi smišljaju se ne računaju. „Summer2026!“ ima jedanaest znakova iz velikog skupa, ali možda 25 bitova stvarne entropije, jer krekeri prvo probaju reči sa velikim početnim slovom, godine i simbol na kraju. Režim „oceni moju“ kažnjava uobičajene obrasce, ali može samo da procenjuje; generisana tajna je jedina sa poznatom entropijom.
Koliko je dovoljno
| Namena | Bitova | Zašto |
|---|---|---|
| Prijava na sajt iza ograničenja broja pokušaja | 40–50 | Pogađanje preko mreže je sporo; pravi rizik je ponovna upotreba, pa je napravite jedinstvenom. |
| Sve što bi moglo da procuri kao heš (većina naloga) | 60–70 | Offline probijanje bcrypt/Argon2 ide desetinama hiljada pokušaja u sekundi po GPU-u. |
| Glavna lozinka, šifrovanje diska, fraza SSH ključa | 80+ | Brzi hešovi ili dugoročne tajne; moraju da izdrže decenije napretka hardvera. |
| Kriptografski ključevi i API tokeni | 128+ | Ljudi ih ne kucaju, pa dužina ništa ne košta. |
Fraze
Lista reči ovde sadrži 6.032 uobičajene engleske reči od 4–7 slova izabrane po učestalosti, slična u duhu dugoj EFF listi (7.776 reči, 12.9 bita svaka). Reči se biraju uniformno nasumično, pa je fraza jaka koliko i njen broj bitova bez obzira na to koliko su reči obične. Dodavanje velikog slova ili broja da bi se zadovoljila pravila forme dodaje najviše nekoliko bitova; dodavanje šeste reči dodaje dvanaest.
Koristite menadžer
Najbolja lozinka je ona koju nikada ne vidite: neka menadžer lozinki generiše dugačku nasumičnu za svaki sajt i pamti je. Ovu stranicu koristite za ono malo tajni koje morate sami da kucate: glavnu lozinku menadžera, lozinku za prijavu i fraze za šifrovanje.
Pitanja
Da li je ovaj generator bezbedan za upotrebu?
Nasumičnost dolazi iz crypto.getRandomValues, istog izvora koji pregledači koriste za TLS ključeve, a stranica nema mrežni kod. Ipak, za najvažnije tajne radije koristite menadžer lozinki ili generator koji radi offline, jer bi svaka veb stranica u principu mogla da bude izmenjena u prenosu; čitanje izvora ovde je zadatak od 100 redova.
Da li su fraze zaista jače od složenih lozinki?
Fraza od pet reči (63 bita) ogromnom razlikom pobeđuje tipičnu „složenu“ lozinku od osam znakova (oko 30–40 bitova stvarne entropije), a možete da je zapamtite. Nasumična lozinka od 16 znakova (105 bitova) je još jača, ali pripada menadžeru.
Kako se računa vreme probijanja?
Očekivani broj pokušaja je 2^(bitova−1) (polovina prostora, u proseku), podeljen brzinom napadača. Prikazane brzine idu od 10 u sekundi (preko mreže, ograničeno) do 10¹¹ u sekundi (GPU postrojenje protiv MD5). Pravi red zavisi od toga kako servis čuva vašu lozinku, što obično ne znate, pa pretpostavite brzi.
Da li treba redovno da menjam lozinke?
Ne po rasporedu; menjajte ih kad postoji razlog (proboj, deljeni uređaj, kolega koji odlazi). Prisilna rotacija vodi slabijim, šablonskim lozinkama. NIST smernice od 2017. kažu isto.