密码短语生成器

一个由某人特意挑选的单词组成的密码短语——一支喜欢的乐队、童年住过的街道、一只宠物的名字——取自一个任何熟悉常见模式的攻击者都会最先尝试的、实际上极小的选择范围,人类"随机"想出来的东西,往往可靠地聚集在可预测、好记的选择周围,而不是真正均匀地分布在所有可能单词的空间里。而由一个密码学安全的随机过程选出的单词组成的密码短语,是从一份很大的词表中独立、均匀地抽取每一个单词,没有任何模式可供攻击者利用——它的强度完全来自词表的大小和选取的单词数量,而不是这句话在人耳听来有多巧妙或多生僻。

从一份几千个常用单词的列表里随机抽取四个词,已经能产出大约 52 比特的熵——和一个相当强的随机密码相当——同时依然是一个人真的能读出来、能在手机键盘上打出来、用过几次之后就能记住的东西,而一个带混合符号的随机 12 位字符串通常做不到这一点。

密码管理器让大多数账户的可记忆性变得无关紧要,但有少数几个密码根本没法存进管理器里——解锁管理器本身的主密码、一台设备的全盘加密密码短语,或者一个迟早需要有人从屏幕上读出来、手动输入的家庭 WiFi 共享密码。正是对这一小撮必须让人能记住、能手动输入的密码来说,密码短语相对于强度相近的随机字符串,才是更强的实用选择,原因正是一个人在正常条件下真的能准确地重现它。