"Onko turvallista luoda salasana satunnaisella verkkosivustolla?" on aiheellinen kysymys — pyydät työkalua, jota et hallitse, tuottamaan salaisuuden, jolle olet aikeissa luottaa tilisi. Rehellinen vastaus on: se riippuu täysin siitä, miten työkalu toimii, eikä sinun tarvitse uskoa sivuston sanaan. Tässä artikkelissa selitetään, mitä voit tarkistaa itse.

Tiivistelmä

Todellinen riski ei ole itse salasana — vaan se, lähettääkö sivusto luomansa tiedon palvelimelle, jossa se voitaisiin tallentaa lokiin.
Voit tarkistaa tämän itse: avaa selaimesi kehittäjätyökalut, siirry Verkko-välilehdelle, luo salasana ja katso, laukeaako yhtään pyyntöä.
Aidosti asiakaspuolinen generaattori ei tuota lainkaan verkkoliikennettä salasanaa luodessa — JavaScript suoritetaan kokonaan selaimessasi.
Suosi työkaluja, jotka nimenomaisesti käyttävät Web Crypto API:a (crypto.getRandomValues()), niiden sijaan, jotka eivät kerro lainkaan satunnaisuuslähdettään.

Lyhyt vastaus

Verkon salasanageneraattori on turvallinen käyttää vain ja ainoastaan, jos se luo salasanan kokonaan selaimessasi eikä koskaan lähetä sitä minnekään. PassGenerate toimii näin: generointi tapahtuu paikallisesti Web Crypto API:n kautta, ja voit varmistaa tämän itse alle minuutissa selaimesi sisäänrakennetuilla kehittäjätyökaluilla, ilman että sinun tarvitsee luottaa sivuston väitteeseen.

Miten oikeasti tarkistat generaattorin itse

Sinun ei tarvitse olla kehittäjä tehdäksesi tämän tarkistuksen:

Avaa salasanageneraattorin sivusto.
Avaa selaimesi kehittäjätyökalut (F12, tai hiiren oikea painike → Tarkastele, useimmissa selaimissa).
Napsauta Verkko-välilehteä.
Luo salasana sivulla.
Tarkkaile Verkko-välilehteä. Jos kyseessä on aidosti asiakaspuolinen työkalu, näet, ettei yhtään uutta pyyntöä laukea salasanaa luodessa — mitään ei lähetetä minnekään. Jos näet pyynnön lähtevän palvelimelle juuri kun napsautat luo-painiketta, se kannattaa tutkia: tarkista, mitä dataa se lähettää pyynnön sisällössä.

Tämä toimii, koska selaimessasi suoritettava JavaScript voi joko tehdä kaiken työn paikallisesti (laskea satunnainen salasana ja näyttää se, siinä kaikki) tai lähettää dataa palvelimelle ja odottaa vastausta. Verkko-välilehti näyttää sinulle, kumpi näistä todella tapahtuu — sivusto ei voi väärentää tätä sinun huomaamattasi, koska tarkastelet selaimesi lähettämää todellista liikennettä.

Mitä "asiakaspuolinen generointi" oikeasti tarkoittaa teknisesti

Aidosti asiakaspuolinen salasanageneraattori käyttää selaimen omaa Web Crypto API:a, erityisesti crypto.getRandomValues()-funktiota, tuottaakseen kryptografisesti turvallisia satunnaisia tavuja, ja kartoittaa sitten nämä tavut valitsemaasi merkistöön kokonaan laitteellasi suoritettavassa JavaScriptissä. Mikään tässä prosessissa ei vaadi — tai hyödy — verkkopyynnöstä. Jos työkalu tarvitsee selaimesi keskustelevan palvelimen kanssa salasanan "luomiseksi", se on arkkitehtonisesti tarpeetonta tehtävälle, mikä sinänsä kannattaa kyseenalaistaa.

Varoitusmerkkejä, joita kannattaa tarkkailla

Ei ilmoitettua satunnaisuuslähdettä. Jos sivusto ei kerro, miten se luo satunnaisuutta, et voi varmistaa, käyttääkö se CSPRNG:tä heikomman menetelmän, kuten Math.random(), sijaan — joka on joissakin moottoreissa riittävän ennustettava rekonstruoitavaksi havaituista tulosteista — sopimaton mihinkään tietoturvakriittiseen.
Verkkotoimintaa generoinnin aikana. Vahvistettu yllä olevalla kehittäjätyökalutarkistuksella. Vaikka sivusto väittäisi, ettei se tallenna mitään lokiin, jos pyyntö on olemassa, on myös mahdollisuus, että se tallennetaan lokiin, tahallisesti tai palvelinpuolen bugin kautta.
Tilit tai sähköpostin kerääminen ennen kuin voit käyttää työkalua. Salasanageneraattorilla ei ole laillista syytä tarvita sähköpostiosoitettasi satunnaisen merkkijonon luomiseksi.
Liialliset kolmannen osapuolen skriptit. Raskas mainosteknologia tai analytiikkatyökalut sivulla, joka käsittelee salaisuuksia, kasvattaa hyökkäyspinta-alaa — mitä enemmän kolmannen osapuolen koodia sivulla suoritetaan, sitä enemmän mahdollisuuksia vaarantuneella skriptillä on siepata sivulla olevaa tietoa, vaikka itse generaattori olisikin asiakaspuolinen. Tämä ei ole hypoteettinen huoli: kesäkuussa 2024 laajalti käytetty Polyfill.js-CDN vaarantui, ja lisätty haitallinen koodi tarjoiltiin yli 490 000 verkkosivuston kävijöille, jotka olivat yksinkertaisesti sisällyttäneet skriptin rutiininomaisena riippuvuutena — mikään näistä sivustoista ei ollut yksittäin kohteena eikä tehnyt mitään väärin, paitsi luotti kolmannen osapuolen skriptiin. Keskimääräinen verkkosivusto lataa nykyään kymmeniä skriptejä, joista noin kaksi kolmasosaa kolmansilta osapuolilta, ja kolmansien osapuolten osuus tietomurroissa on kasvanut jyrkästi vuosi vuodelta. Mikään tästä ei tarkoita, että kolmannen osapuolen skriptejä sisältävä sivu olisi automaattisesti turvaton — mutta se on todellinen syy suosia generaattoria, jonka sivu on kevyt ja tarkastettavissa, sen sijaan, että se olisi pakattu täyteen epäolennaisia työkaluja.

Miksi tämä on tärkeämpää joillekin salasanoille kuin toisille

Epäluotettavan generaattorin käytön panokset skaalautuvat sen mukaan, mitä salasana suojaa. Kertakäyttöisen salasanan luominen kertaluonteista uutiskirjetilausta varten kantaa vain vähän riskiä jopa kyseenalaiselta työkalulta. Pankkisalasanasi, sähköpostisalasanasi tai salasananhallintasi pääsalasanan luominen on juuri se tilanne, jossa sinun tulisi vaatia asiakaspuolisen toiminnan varmistamista itse sen sijaan, että luottaisit väitteeseen — koska ne ovat juuri niitä salasanoja, joilla lokiin tallennetulla selkotekstikopiolla olisi todella merkitystä.

Keskeiset havainnot

Minkä tahansa verkon salasanageneraattorin ydinkysymys on, lähettääkö se salasanan minnekään — varmista tämä itse Verkko-välilehdellä sen sijaan, että luottaisit väitteeseen.
Aito asiakaspuolinen generointi ei tuota lainkaan verkkopyyntöjä salasanaa luodessa.
Suosi työkaluja, jotka nimenomaisesti ilmoittavat käyttävänsä Web Crypto API:n CSPRNG:tä, niiden sijaan, jotka eivät selitä satunnaisuuslähdettään.
Kohdista enemmän tarkkuutta korkean panoksen salasanojen generaattoreihin (pankki, sähköposti, pääsalasanat) kuin matalan panoksen kertakäyttöisiin.

Miksi voit luottaa PassGenerateen

Salasanat luodaan paikallisesti selaimessasi Web Crypto API:n avulla.
Salasanoja ei lähetetä palvelimille.
Käyttää kryptografisesti turvallista pseudosatunnaislukugeneraattoria (CSPRNG).
Noudattaa nykyaikaisia NIST:n ja OWASP:n suosittelemia tietoturvan parhaita käytäntöjä.

Lähteet

Polyfill.js CDN -toimitusketjun vaarantuminen, kesäkuu 2024
MDN Web Crypto API Documentation
OWASP Password Storage Cheat Sheet
NIST SP 800-63B – Digital Identity Guidelines

Johtopäätös

Sinun ei tarvitse luottaa verkon salasanageneraattorin sanaan siitä, miten se toimii — minuutti selaimesi Verkko-välilehdellä kertoo sinulle lopullisesti, lähettääkö se luomansa tiedon eteenpäin. Suosi työkaluja, jotka käyttävät Web Crypto API:n CSPRNG:tä, jotka eivät pyydä mitään muuta kuin salasanan luomisen ja joiden olet itse vahvistanut tuottavan nolla verkkotoimintaa — ja varaa suurin tarkkuus niille salasanoille, joilla olisi eniten merkitystä, jos jotain menisi pieleen.

Onko verkon salasanageneraattoreiden käyttö turvallista? Näin tarkistat sen itse