2022-02-16

Генератор паролей

Давно занимался проблемой генерации и хранения паролей. Определил воспроизводимость как обязательное свойство для личных паролей. Т.к. пароль должен составляться по алгоритму который можно запомнить и написать заново при утере утилиты, и по нему восстановить все свои пароли.

Есть схема “генерации” паролей когда придумывают неизменную часть пароля и добавлять к нему название сайта. При компрометации двух паролей одного человека можно по этой схеме раскрыть остальные.

В моём генераторе /pass решены обе проблемы: генерация производится по постоянному (возможно очень простому) ключу и уникальной части для каждого сайта. Всё это дело хешируется алгоритмом SHA256(название_сайта + ключ). Например пароль для сервиса Site по ключу Keyword будет SHA256('SiteKeyword') = ed5350340e9c49ad16b42840c5163b6f7c74690b6588e8afee5b70f2557f45e1. Если сайт не принимает такую длину, можно обрезать до 16 символов. Если нужна буква верхнего регистра, можно повысить регистр первой же встреченной буквы. Тогда пароль для привередливого сервиса получится Ed5350340e9c49ad.

Не имея утилиты можно нагуглить sha256 online - множество сервисов. Вставить в любой из них строку SiteKeyword и получить свой пароль от Site.

Можно быстро создать “альтернативную личность” заменив ключ. Наверное, использовать в ключе производную от логина не лучшая идея, но для некритичных сервисов, где нужно иметь несколько аккаунтов, может подойти.

Пользуюсь такой схемой и утилитой несколько лет, пока ничего лучше не изобрёл. Парольный менеджер тоже есть, но не открываю его неделями - быстрее получить пароль через /pass.

Пока единственное неудобство: при покупке нового телефона нужно вбить все 64 символа пароля от Google вручную ;-)