Генератор парольных фраз
- 7 слов
Бесплатный генератор парольных фраз из случайных слов
Этот генератор парольных фраз создаёт запоминающийся пароль из случайных слов: его легко запомнить и набрать, но трудно угадать. В основе — идея xkcd и метод Diceware, реализованные как положено: с безопасным генератором случайных чисел и честной оценкой стойкости. По умолчанию используются семь случайных слов — этого достаточно почти для любого пароля, который вы вводите вручную.
Выберите от 3 до 12 слов, разделитель между ними, заглавные буквы, цифру, символ и максимальную длину. Доступны слова на английском и ещё девяти языках. Не нравится одно из слов? Нажмите на него, чтобы заменить только его. Парольная фраза создаётся на вашем устройстве и никуда не отправляется.
Перейти к разделу: Для чего нужна парольная фраза? · Сколько слов выбрать? · Три случайных слова · Как её запомнить · Вопросы
Для чего нужна парольная фраза?
Парольная фраза подходит для паролей, которые вы вводите вручную. Выберите задачу — генератор парольных фраз откроется с нужными настройками.
- Мастер-парольПароль, который нельзя забывать: он открывает доступ к вашему менеджеру паролей. Заглавные буквы и цифра нужны для приложений, которые их требуют.8 слов · заглавные буквы · цифра
- Шифрование дискаBitLocker, FileVault, VeraCrypt или LUKS. Парольная фраза защищает всё содержимое диска, поэтому в ней больше всего слов.8 слов
- Ключ SSH или GPGОткрывает доступ к вашему закрытому ключу при каждом его использовании.7 слов
- Произнести вслух или ввести на телевизореОбычные слова с пробелами легко продиктовать по телефону или набрать с пульта.7 слов · пробелы
- Сайт со строгими требованиями к паролямЗаглавные буквы, случайные цифры между словами и один спецсимвол позволяют выполнить требования «заглавные и строчные буквы, цифры и спецсимволы».6 слов · заглавные буквы · цифры между словами · спецсимвол
- Три случайных словаРекомендация правительства Великобритании для учётных записей в интернете. Подходит, если сайт ограничивает число неудачных попыток входа, а вы используете двухэтапную проверку. Для остальных случаев защита слишком слабая — ниже объясняем почему.3 слова · заглавные буквы · цифра · Слабый пароль при краже файла с паролями
- Новые учётные записи для командыДесять разных парольных фраз, каждая на отдельной строке со своей кнопкой копирования. Для целого класса или компании используйте массовый генератор паролей.10 парольных фраз по 7 слов
- Учётная запись на сайте или в приложенииЕсли вы не вводите пароль вручную, случайная строка символов будет короче при той же надёжности.Генератор паролей
Сколько слов нужно?
Каждое добавленное слово делает парольную фразу примерно в 7 400 раз сложнее для подбора, потому что злоумышленнику приходится перебирать все слова из списка для каждой позиции. Семь случайных слов — наш вариант по умолчанию — подходят почти для любого пароля, который вы вводите вручную: для входа в компьютер, Wi-Fi или ключа SSH. Для менеджера паролей или зашифрованного диска используйте восемь слов. Три или четыре слова подходят только для учётных записей, где блокируются неверные попытки входа, как объясняется ниже.
Время под генератором рассчитано для худшего случая: злоумышленник знает ваш список слов и располагает копией данных, по которой может подбирать пароль на своих компьютерах без ограничения числа попыток. Это может быть список паролей, украденный с сайта, или скопированный зашифрованный файл. Время подбора парольной фразы, показанной в генераторе, зависит от того, кто её подбирает:
Ваша парольная фраза7 словАнглийскийAbc123!@#
- Одна видеокарта
- 98 миллионов лет
- Очень надёжный
- Как в мощном игровом компьютере
- 1 000 видеокарт Ваша оценка
- 98 000 лет
- Надёжный
- С почасовой арендой, например для преступной группы
- 100 000 видеокарт
- 980 лет
- Надёжный
- Масштаб государства или крупной технологической компании. Никто не публикует эти данные.
На сайте или устройстве с должной защитой подбор идёт гораздо медленнее: повторные неверные попытки блокируются, а пароли хранятся в форме, которая замедляет подбор. Но вы не можете узнать, как сайт хранит ваш пароль, поэтому не стоит на это рассчитывать.
Заглавные буквы почти ничего не добавляют к защите: злоумышленник тоже может написать каждое слово с заглавной буквы. Цифра или символ немного усложняют подбор. Ещё одно слово даёт наибольший эффект. Если сайт ограничивает длину пароля, откройте Любая длина и выберите нужное ограничение: генератор парольных фраз будет создавать только фразы, которые в него укладываются, а показатель надёжности соответственно снизится.
Достаточно ли пароля из 3 слов?
Национальный центр кибербезопасности Великобритании (NCSC) рекомендует использовать «три случайных слова», и многие теперь ищут генератор паролей из 3 слов. Это разумный совет для той ситуации, на которую он рассчитан: для учётной записи на сайте, который блокирует многократные попытки подбора пароля, желательно с двухэтапной аутентификацией. Подбор трёх случайных слов через страницу входа со скоростью 10 попыток в секунду занял бы около 650 лет.
Проблема возникает при утечке данных. Если злоумышленники украдут хеши паролей сайта, те же три слова можно подобрать меньше чем за секунду, а заглавные буквы, цифра и символ почти не помогут. Поэтому используйте три слова только в тех случаях, для которых NCSC даёт эту рекомендацию. Для менеджера паролей, входа в компьютер, Wi-Fi или зашифрованного диска используйте семь слов или больше. Пример «Три случайных слова» выше открывает генератор парольных фраз с настройками по рекомендации NCSC, а строка оценки надёжности честно показывает, насколько слаб такой пароль.
Генератор парольных фраз по xkcd: правильный подход
В знаменитом комиксе xkcd говорилось, что четыре случайных общеупотребительных слова легче запомнить, чем «Tr0ub4dor&3», и сложнее взломать. Сама идея верна. Но числа в комиксе были лишь иллюстрацией: четыре слова из списка на 2 048 слов дают 44 бита, а одна видеокарта перебирает столько вариантов меньше чем за минуту.
Этот генератор парольных фраз сохраняет идею, но меняет числа: списки примерно на 7 400 слов вместо 2 048, семь слов по умолчанию вместо четырёх, никаких повторов слов и криптографически стойкий генератор случайных чисел вместо выбора человеком. Семь слов дают около 90 бит — это около 100 000 лет перебора даже для 1 000 видеокарт.
Главное здесь — случайность. Когда люди сами выбирают слова, они используют строки из песен, цитаты, имена и названия мест, а программы для взлома проверяют такие варианты в первую очередь. Даже фраза «correct horse battery staple» из комикса уже тысячи раз встречается в утечках данных. В случайно выбранных словах нет закономерности, которую можно обнаружить, поэтому расчёты остаются верными, даже если злоумышленник знает, что вы использовали PassGen.co. Уже пользуетесь парольной фразой, которую придумали сами? Проверьте её в Проверке надёжности пароля.
Как запомнить парольную фразу
- Представьте картинку. Придумайте короткую забавную сценку, в которой образы возникают в том же порядке, что и слова. Морж с фонарём в каньоне запоминается гораздо лучше, чем семь отдельных слов.
- Поначалу вводите её почаще. В первую неделю вводите парольную фразу несколько раз в день. Потом пальцы сами её запомнят.
- Запишите её, пока запоминаете. Храните бумажку дома, никогда не держите её рядом с устройством, которое разблокируете этой фразой, и уничтожьте, когда выучите фразу наизусть.
- Сохраняйте разделители. Дефисы или пробелы помогают заметить, где вы ошиблись, и ничем не мешают.
Парольные фразы на вашем языке
Знакомые слова легче запоминать и набирать. Выберите список слов с помощью кнопки с глобусом: английский, немецкий, испанский, французский, итальянский, португальский, каталанский, нидерландский, украинский или русский. Каждый основной список содержит примерно от 5 900 до 7 700 слов, поэтому парольная фраза на любом из этих языков почти так же надёжна, как и на английском, а оценка стойкости под генератором учитывает именно выбранный вами список.
Для украинского и русского языков также есть списки слов латиницей: на экране загрузки ноутбука с зашифрованным диском, на телевизоре или на странице настроек роутера часто доступна только американская раскладка клавиатуры. Если вы не сможете набрать там свою парольную фразу, то не получите доступ. По той же причине, прежде чем полагаться на парольную фразу для шифрования диска, проверьте, удаётся ли ввести её на экране загрузки, или используйте список слов без диакритических знаков.
Английский (короткие слова) — это список слов длиной от трёх до пяти букв, которые быстрее набирать на телефоне или с пульта телевизора. Поскольку выбор слов меньше, каждое слово даёт меньший вклад в надёжность, поэтому используйте девять коротких слов, чтобы получить такую же надёжность, как у семи слов из основного списка.
Как это работает: технические подробности
Для тех, кто хочет разобраться в деталях.
Безопасный случайный выбор
каждое слово выбирается с помощью crypto.getRandomValues() методом выборки с отбрасыванием, чтобы все слова имели строго одинаковую вероятность выбора. Если слово уже есть в парольной фразе, выбор повторяется, поэтому ни одно слово не встречается дважды.
Оценка стойкости
точное число разных парольных фраз, которые можно создать с выбранными настройками. Без ограничения длины это N × (N − 1) × …, где N — число слов в списке, а количество множителей равно количеству слов в парольной фразе. Случайные цифры между словами умножают это число на 10 за каждый промежуток, «добавить цифру» — на 10 × количество слов (какую цифру добавить и к какому слову), а «добавить символ» — на 8 × количество слов (какой из символов ! @ # $ % ^ & * добавить и к какому слову). Заглавные буквы ничего не добавляют, как и разделитель «Свой символ», поскольку вы выбираете его сами. Стойкость в битах = log2 от полученного числа. Время взлома = 2бит − 1 ÷ (2 × 1014) секунд для 1 000 видеокарт.
Максимальная длина
генератор точно подсчитывает, сколько парольных фраз укладывается в ограничение, учитывая длину слов в списке, и случайным образом выбирает одну из них. Вероятность выбора одинакова для всех подходящих фраз. Стойкость рассчитывается по их количеству.
Замена слов
за каждое слово, заменённое k раз, стойкость снижается на log2(k + 1) бит — это максимальная потеря стойкости при выборе одного из k + 1 слов.
Списки для игральных костей
большинство списков изначально содержит 7 776 слов: это 6 × 6 × 6 × 6 × 6 — число возможных результатов броска пяти игральных костей. Так работает метод Diceware: бросаете пять костей и находите слово по выпавшей комбинации. В испанском, итальянском и каталанском списках по 8 192 слова, а в английском списке коротких слов — 1 296, что соответствует четырём костям. Из-за описанной ниже очистки списков генератор использует генератор случайных чисел вашего браузера, а не результаты бросков костей.
Очистка списков
слова с символом-разделителем, например «yo-yo», удаляются, чтобы границы между словами оставались однозначными. Также удаляются имена людей и географические названия, даже если в списке они написаны со строчной буквы, и слова, которые было бы неприятно или неловко произносить вслух в составе парольной фразы: названия болезней, наркотиков, оружия и оскорбления. Количество доступных слов: английский — 7 424, английский (короткие слова) — 1 234, немецкий — 6 947, испанский — 5 962, французский — 7 347, итальянский — 7 667, португальский — 7 429, каталанский — 7 186, нидерландский — 7 337, украинский — 7 430, украинский (латиницей) — 7 480, русский и русский (латиницей) — по 7 608. При расчёте стойкости используются именно эти числа, поэтому оценка остаётся точной.
Списки слов
для английского используется EFF Long Wordlist (CC BY 4.0), а для английского с короткими словами — EFF Short Wordlist 1 (CC BY 3.0 US). Немецкий, испанский, итальянский и каталанский списки взяты из списков diceware от ulif (CC BY), французский — из проекта Tails (CC0), нидерландский — с mko.re (CC BY), украинский — у git-leaf (MIT). Русский список составлен для PassGen.co на основе данных OpenRussian.org (CC BY-SA 4.0), а португальский — на основе данных о частоте слов из OpenSubtitles (hermitdave/FrequencyWords) и португальской Википедии (CC BY-SA 4.0).
Частые вопросы
Как выглядит хорошая парольная фраза?
Например, бархат-гавань-эскиз-фонарь-кактус-морж-каньон: семь слов, не связанных ни друг с другом, ни с вами. Никогда не используйте опубликованные примеры, в том числе этот. Создайте свою фразу выше.
Надёжна ли парольная фраза из четырёх слов?
Только там, где число неверных попыток ограничено, например на телефоне, который блокируется после нескольких попыток. Если хеш парольной фразы украдут, фразу из четырёх слов подберут за считаные секунды. Используйте семь слов для учётных записей и восемь для всего, что защищает другие пароли.
Чем парольная фраза отличается от пароля?
Пароль — это обычно короткая строка из символов разных типов, а парольная фраза — более длинная последовательность слов. Когда говорят о запоминающемся пароле, обычно имеют в виду парольную фразу — такую, какую создаёт генератор парольных фраз. При одинаковой надёжности парольная фраза длиннее, зато её гораздо проще вводить и запоминать. Используйте парольную фразу там, где вводите её сами, а случайный пароль — там, где его подставляет менеджер паролей.
Это генератор Diceware?
Он использует тот же метод: слова случайным образом выбираются из списка, размер которого соответствует числу возможных результатов броска игральных костей. В большинстве списков 7 776 слов — столько комбинаций может выпасть при броске пяти костей. Вместо бросков костей используется криптографически стойкий генератор случайных чисел вашего браузера: результат столь же случаен, а получить его гораздо быстрее. Оценка надёжности учитывает точный размер используемого списка.
Почему для длинной парольной фразы указано короткое время взлома?
Надёжность зависит от того, сколько разных парольных фраз можно создать с вашими настройками, а не от количества букв в них. Злоумышленник перебирает целые слова из списка, поэтому длинные слова не дают преимущества перед короткими, а заглавная буква в начале каждого слова ничего не добавляет. Ещё одно слово увеличивает время подбора примерно в 7 400 раз.
Можно ли заменить только одно слово?
Да. Коснитесь слова или щёлкните по нему мышью либо перейдите к нему клавишами со стрелками и нажмите Enter. Изменится только это слово. При каждой замене оценка надёжности немного снижается, потому что выбранное вами слово чуть менее случайно, чем то, которое вы не выбирали.
Можно ли создать несколько парольных фраз сразу?
Да. Откройте Несколько парольных фраз под результатом и выберите количество — до 16. У каждой фразы будет своя кнопка копирования. Для целого класса или компании генератор паролей для массового создания создаёт до 1 000 паролей и экспортирует их для Microsoft 365, Google Workspace или Active Directory.
Можно ли использовать пробелы в парольной фразе?
Обычно да. Большинство сайтов, операционных систем и программ для шифрования допускают пробелы. Некоторые старые системы удаляют их или не принимают, поэтому, если сомневаетесь, используйте дефисы. Если сайт не принимает и дефисы, выберите «Свой символ» и введите допустимый символ. Надёжность в любом случае будет одинаковой.
Как добавить парольную фразу к ключу SSH или GPG?
Для существующего ключа SSH выполните ssh-keygen -p -f ~/.ssh/id_ed25519 и вставьте парольную фразу, когда появится запрос. Для GPG выполните gpg --passwd, указав после команды идентификатор своего ключа. При создании новых ключей вам предложат задать парольную фразу.
Можно ли использовать этот генератор для создания сид-фразы криптокошелька?
Нет. Фразу восстановления из 12 или 24 слов должен создавать сам кошелёк: он использует собственный список слов и встроенную контрольную сумму, поэтому слова из этого генератора не подойдут. Дополнительная парольная фраза BIP39, которую предлагают некоторые кошельки, — другое дело: вы выбираете её сами, поэтому фраза из этого генератора для неё хорошо подходит. Храните её так же бережно, как фразу восстановления: без неё восстановить кошелёк не получится.
Безопасно ли создавать парольную фразу онлайн?
Здесь — да. Парольную фразу создаёт код, который выполняется в вашем браузере, и она никогда не отправляется нам. После загрузки страница работает без подключения к интернету, поэтому для уверенности вы можете отключить интернет перед созданием фразы.
Другие инструменты
- Генератор паролейСлучайные буквы, цифры и символы
- Генератор PIN-кодовЦифровые коды без простых комбинаций
- Генератор имён пользователейИмена для учётных записей и игр
- Проверка надёжности пароляНасколько надёжен пароль и был ли в утечках?
- Массовый генератор паролейПароли для всей команды или класса
- Генератор QR-кодов Wi-FiQR-код для подключения к вашему Wi-Fi