peter23 Jul 24 2011 at 21:00

Онлайн генератор паролей с энтропией

1 min

134K

Information Security*

+35

Comments 46

bondbig Jul 24 2011 at 22:08

Ушло в избранное.
Параноик внутри меня жаждет https.

SmartBye Jul 24 2011 at 22:12

Зачем еще https, там же js.

bondbig Jul 24 2011 at 22:15

да, глупость сморозил.

foregen Jul 25 2011 at 03:21

Opera Mini
Режим с энтропией только не работает.

Или это только кажется, что опера мини js гоняет через себя?

Nevkontakte Jul 25 2011 at 06:24

В Opera Mini JS поддерживается весьма ограниченно, это «медицинский факт».

foregen Jul 25 2011 at 06:39

Поддерживается достаточно, чтобы этот сервис работал (но без энтропии).
При нажатии «Генерировать» страница полностью перегружается. С сервера? Если да, то пароль будет сохранен как минимум на серверах оперы.

ukko Jul 25 2011 at 08:40

Параноик внутри вас должен бояться пополнять чужие словари своим паролем

zepps Jul 24 2011 at 23:24

Энтропия? Ахах! Загляните в Википедию. Энтропия — это мера, а не механизм или инструмент.

То что вы называете энтропией, является не более чем Биометрическим датчиком случайных чисел

DnV Jul 25 2011 at 00:24

Тоже поржал над энтропией. Все эти «поводите мышкой» и «понажимайте кнопки» в данном случае могут служить только для иллюзии чего-то супер защищённого у обычного пользователя и практического смысла не несут.

sergrt Jul 25 2011 at 03:11

Есть вполне легитимный термин в области криптографии, детали ищутся в той же википедии по сочетанию «Информационная энтропия»

MarcusAurelius Jul 25 2011 at 03:54

Энтропия — не только мера дизорганизации системы, но еще и величина, обратная информации. С ее помощью мы можем выразить объем неизвестной нам информации. Такое впечатление, что от мыши и клавы информация не прибывает, а наоборот, утекает в них. А употребление автором этого слова тут — это влияние английского языка, в котором entropy — это еще и процесс, приводящий вселенную (или систему) к тепловой смерти, почти синоним хаоса.

UFO just landed and posted this here

peter23 Jul 25 2011 at 11:58

Абсолютно верное пояснение.

DnV Jul 25 2011 at 19:22

В данном случае способ генерации инициализирующего числа не играет абсолютно никакой практической роли. Следовательно требование от пользователя делать дополнительные «телодвижения» для якобы большей защиты смешно.

UFO just landed and posted this here

krasin Jul 25 2011 at 02:38

Для WebKit-based browser (Chrome точно, в Safari не проверял) имеет смысл использовать на Math.random, a crypto.getRandomValues, которые возьмут энтропию из /dev/random или аналога, предоставляемого операционной системой.

wiki.whatwg.org/wiki/Crypto
jsperf.com/rng-booleans/2

Firefox тоже скоро доделает поддержку crypto.getRandomValues: bugzilla.mozilla.org/attachment.cgi?id=547820&action=diff

Pilat Jul 25 2011 at 04:37

Aingai3ohwai Upee0bahjies Kex5weithoox gahBahngu4ri Aac1oosinaes Esu1veeyiexi Uk1iepubaeda Aonaiwoogh4h Ohsie7ahnahw Paeshae1tayo Ciecaef6umei hohLao8seedo

>Стойкость одного пароля: 71 bits

А это откуда? Что такое «стойкость»?

PS
KeePass на те же пароли даёт 57-63 бита. Всегда у автора хотел спросить что имеется ввиду.

peter23 Jul 25 2011 at 09:21

Формула в топике приведена. Она часто встречается, например тут:
habrahabr.ru/blogs/infosecurity/116331/

unxed Jul 25 2011 at 05:39

А вероятность случайного выпадания словарной комбинации? А без такой проверки вся паранойя коту под хвост, извините :)

cblp Jul 25 2011 at 06:41

Злоумышленник может обмануть ваш сервер, послав поддельные данный с датчика энтропии?

peter23 Jul 25 2011 at 09:06

На JS работает же :)
Обмена данными с сервером не происходит.

zar0ku1 Jul 25 2011 at 07:11

нажимаю на клавиши, мышь не двигаю — ничего не происходит
Браузер Chrom3 12

peter23 Jul 25 2011 at 09:07

Даже не знаю, что сказать. Может быть JS отключен?
Тестировал работу в Chrome 12 и 13 версий под Linux и под Windows.

zar0ku1 Jul 25 2011 at 10:54

мышь двигаю то все работает, причем тут JS?

bad_guy Jul 25 2011 at 11:34

Попробуйте побольше понажимать клавиши. Скорость работы высока только с мышкой, генерить пароли нажатиями клавиш и ресайзом окна, долго.
P.S. Chrome 12

peter23 Jul 25 2011 at 11:38

При том, что именно код JS обрабатывает события передвижения мыши.

zar0ku1 Jul 25 2011 at 12:43

Так мышь работает! клава не работает, перечитайте первое сообщение

peter23 Jul 25 2011 at 12:48

Ага, я понял наконец, сплю на ходу.
bad_guy выше верно сказал.
Просто нужно много клавиш понажимать. Мышь генерирует намного больше событий.

Nebulosa Jul 25 2011 at 08:42

Так всё-таки, чем плох pwgen?..

OLS Jul 25 2011 at 10:24

Несложный код оценки энтропии событий движения мыши

 if (iEventCount % 100 == 99)

 {

 fEntropyX = 0.0; fEntropyY = 0.0;

 for (var i=0; i<=63; i++)

 {

 if (0<iDiffStatX[i]) { fEntropyX = fEntropyX - (iDiffStatX[i]/iEventCount)*Math.log(iDiffStatX[i]/iEventCount)/Math.log(2); };

 if (0<iDiffStatY[i]) { fEntropyY = fEntropyY - (iDiffStatY[i]/iEventCount)*Math.log(iDiffStatY[i]/iEventCount)/Math.log(2); };

 }; 

 document.getElementById('stt').innerHTML = 'X: ' + fEntropyX + 'Y: ' + fEntropyY;

 };



в моем браузере дает



EventCount : 2002



Statistics :

EntropyX: 3.6365715988552525 bits

EntropyY: 3.2915305203895318 bits





Как видите, движения мыши дают несколько меньший прирост энтропии Вашему генератору, чем Вы рассчитываете.

logka Jul 25 2011 at 10:28

раз уж параноидально думать о безопасности… то какой нафиг сторонний сервис для онлайн генератор паролей?

MarcusAurelius Jul 25 2011 at 10:53

А он не сторониий, все же на JS написано, и можно взять и скопировать в любой сайт и, как уже тут говорили, работать то оно будет на стороне клиента, а не на сервере, т.е. ни какой подмены/перехвата/хитростей. Вопрос только в том, какой лицензией снабдил автор свое творение:

seedrandom.js — David Bau, Peter — лицензия BSD
jQuery — John Resig — Dual licensed under the MIT or GPL Version 2 licenses

peter23 Jul 25 2011 at 11:43

Снабдил genpas.js лицензией GPL :)

logka Jul 25 2011 at 14:07

Теперь все понятно. Спасибо спасибо :)

ComodoHacker Jul 25 2011 at 11:22

Firefox 3.6.13. Не считывает нажатия клавиш. По крайней мере проценты не бегут.

Вопрос. А как генерируется пароль без пользовательского ввода? Ведь большинство будет делать именно так, ибо лениво.

peter23 Jul 25 2011 at 12:50

Просто нужно много клавиш понажимать. Мышь генерирует намного больше событий.
Без пользовательского ввода генерируется обычным Math.random(). Он инициализируется текущим временем и возможно еще какими-то параметрами.