Gerador de senhas

A força de uma senha aleatória é uma função de quantas senhas possíveis existem dado seu comprimento e conjunto de caracteres, e esse número cresce exponencialmente com o comprimento mas apenas linearmente com o tamanho do conjunto de caracteres — adicionar mais uma posição de caractere multiplica o espaço total de possibilidades, enquanto adicionar mais um tipo de símbolo permitido mal o move. Uma senha de 20 caracteres usando apenas letras minúsculas extrai de 26 possibilidades por posição através de 20 posições, resultando em muitíssimas mais combinações totais do que uma senha de 8 caracteres extraída de um conjunto muito mais rico de 94 caracteres possíveis (maiúsculas, minúsculas, dígitos e símbolos combinados) mas com apenas 8 posições para colocá-los. Esta é a razão matemática pela qual comprimento é o fator dominante na força de uma senha, e por que o conselho de longa data de adicionar símbolos e maiúsculas mistas importa muito menos do que simplesmente tornar a senha mais longa.

Nem todos os geradores de números aleatórios são igualmente imprevisíveis. `Math.random()`, a função aleatória de propósito geral embutida no JavaScript, é projetada para velocidade e distribuição estatística em coisas como animações ou embaralhar um tabuleiro de jogo — não é projetada para resistir a um atacante especificamente tentando prever sua saída, e em algumas implementações seu estado interno pode ser parcialmente reconstruído a partir de um punhado de saídas observadas. `crypto.getRandomValues()`, a API que esta ferramenta usa em vez disso, extrai da fonte de números aleatórios criptográfica do sistema operacional — a mesma fonte subjacente usada para gerar chaves de criptografia — que é construída e auditada especificamente para resistir exatamente a esse tipo de ataque de previsão. Usar qualquer coisa diferente de um CSPRNG (gerador de números pseudoaleatórios criptograficamente seguro) para gerar senhas é uma fraqueza real e explorável, não teórica — vários bugs publicados de geradores de senha vieram exatamente dessa substituição.

Entropia, medida em bits, descreve quantas tentativas um atacante precisaria para testar exaustivamente cada possibilidade antes de encontrar a correta — cada bit adicional dobra esse número, então a relação é exponencial em vez de linear, e um salto de 60 para 70 bits representa um aumento de mil vezes na carga de trabalho do atacante, não uma melhoria modesta de dez unidades. Abaixo de aproximadamente 50 bits, ataques sustentados de força bruta usando hardware moderno se tornam genuinamente viáveis dentro de um prazo prático. A faixa de 70–80 bits é considerada confortável para uma senha comum protegendo uma conta online típica. Acima de 100 bits está confortavelmente além do que qualquer esforço computacional atualmente concebível poderia esgotar, que é por isso que tanto a orientação desta ferramenta quanto seu medidor de força se ancoram em torno desses limites específicos em vez de uma recomendação vaga de "torne-a mais forte".