Jelszógenerátor
Véletlen jelszó, magyar szavakból álló jelmondat vagy PIN. A bitszám pontos, nem becslés.
A jelszó csak a böngésződben készül. Nem küldjük el, nem mentjük, nem kerül a címsorba. Csak a beállításaidat jegyezzük meg.
Az új jelszavad
akisbetű Anagybetű 7szám, aláhúzva #jel, pontozott aláhúzással
– bit
Csak olyan eszközre, amely néhány hibás próba után letilt (telefon, bankkártya, zár). Weboldalra, fiókhoz a PIN kevés: ott jelszót vagy jelmondatot használj.
Egymástól független jelszavak
Honnan jön a bitszám?
Megszámoljuk, hány különböző kimenet jöhetett volna ki a mostani beállítással, és ennek vesszük a kettes alapú logaritmusát. Minden további bit megduplázza a próbálkozások számát.
Példa feltevéssel
A valós idő a támadó eszközeitől és attól függ, hogyan tárolja a szolgáltatás a jelszót. Lassú jelszó-hasítás (pl. bcrypt, Argon2) mellett nagyságrendekkel tovább tart, egy online belépőnél a próbálkozások korlátja miatt még tovább.
| Bit | Fokozat | Mire elég |
|---|---|---|
| 40 alatt | Gyenge | Semmire. Egy gép percek alatt végigpróbálja. |
| 40–63 | Közepes | Próbálkozás-korlátos belépéshez (PIN, zárolódó fiók). Kiszivárgott adatbázisból feltörhető. |
| 64–79 | Erős | Fiókjelszónak jó. A fenti feltevéssel hónapoktól évszázadokig tart. |
| 80 felett | Nagyon erős | Mesterjelszónak, titkosításhoz. Nyers erővel gyakorlatilag nem törhető. |
A határok saját döntés: a jelszókezelők és a NIST-ajánlás gyakorlatához igazodnak, de nem szabványértékek.
Ajánlások
Három hiteles forrás, egy irányba mutatnak: hosszú, egyedi, véletlen jelszó, jelszókezelőben, kétlépcsős azonosítással.
-
Minden fiókhoz más jelszó
Ha egy oldalról kiszivárog, a támadók a többi szolgáltatásnál is kipróbálják. Ez a leggyakoribb betörési mód, erősebb jelszó sem véd ellene, csak az egyedi.
NCSC · NBSZ NKI
-
Jelszókezelő
Titkosítva tárolja a jelszavaidat, neked csak egy mesterjelszót kell megjegyezned. Ide másold, amit itt generálsz. A mesterjelszó legyen jelmondat, legalább 6 szóból.
NCSC · NBSZ NKI
-
A hossz számít, nem az összetétel
Egyfaktoros belépéshez legalább 15 karakter, kétlépcsős azonosítás mellett legalább 8. A szolgáltatók ne írjanak elő karaktertípust és rendszeres jelszócserét, csak akkor kérjenek újat, ha a régi kiszivárgott.
NIST SP 800-63B-4
-
Amit fejben kell tartani: jelmondat
Több véletlen szó könnyebben megjegyezhető, mint egy jelsor. Az NCSC három szót javasol hétköznapi fiókhoz. Ebből a listából három szó csak ≈ 38,8 bit, ezért mesterjelszóhoz öt-hat szót ajánlunk.
NCSC · saját számítás
-
Kétlépcsős azonosítás
A legerősebb jelszó is kiszivároghat. A második lépés (alkalmazás, kulcs, biometria) nélkül a támadó akkor sem lép be, ha ismeri.
NBSZ NKI · NCSC
-
Ne te találd ki
Az ember által választott jelszavak mintákat követnek (név, dátum, cserélt betűk), ezeket a támadók elsőként próbálják. A fenti bitszám csak véletlen generálásra igaz.
NCSC · NIST SP 800-63B-4
Kérdések
Biztonságos itt jelszót generálni?
A jelszó a böngésződben készül, a crypto.getRandomValues kriptográfiai véletlenszám-generátorral. Az oldal nem küldi el, nem menti és nem teszi a címsorba. Csak a beállításaidat (típus, hossz, kapcsolók) jegyzi meg a böngésződ helyi tárhelyén. Ha másolsz, a jelszó a vágólapra kerül: onnan a saját eszközöd más programjai is olvashatják, ezért illeszd be mielőbb a jelszókezelődbe.
Mit jelent a bitszám?
A lehetséges kimenetek számának kettes alapú logaritmusa. Ha a készlet 79 jel és a jelszó 20 karakter, akkor 7920 jelszó lehetséges, ez log2(7920) ≈ 126 bit. Átlagosan a lehetőségek felét kell végigpróbálni. A szám csak véletlenül generált jelszóra igaz, ember által kitaláltra nem.
Mennyire erős egy jelmondat?
A szólista 7776 szavas, így minden szó log2(7776) ≈ 12,9 bitet ad. Öt szó ≈ 64,6 bit, hat szó ≈ 77,5 bit. A szám a végére még ≈ 3,3 bitet ad. A nagy kezdőbetű és az ékezetek elhagyása nem változtat a bitszámon: a lista úgy készült, hogy ékezet nélkül se legyen két egyforma szó.
Miért nem méri az oldal a saját jelszavam erősségét?
Mert egy ember által kitalált jelszó erősségét nem lehet a hosszából és a karaktereiből kiszámolni: a támadók szótárakkal és mintákkal kezdenek, így a Nyar2024! sokkal gyengébb, mint amit a hossza mutat. Egy ilyen becslés hamis biztonságérzetet adna, és a jelszót be is kellene írnod egy weboldalra.
Kell-e minden jelszóban nagybetű, szám és jel?
Nem. A NIST SP 800-63B-4 szerint a szolgáltatók ne írjanak elő összetételi szabályt, a hossz számít. Ha egy oldal mégis megköveteli, kapcsold be a „Legalább egy minden csoportból” lehetőséget. Ilyenkor az oldal addig generál újra, amíg minden csoport szerepel, és a bitszám a megengedett jelszavak pontos számából jön (szita-formula), nem a naiv képletből.
Mennyire véletlen a választás?
Minden karakter és szó egyforma eséllyel jön. A véletlen 32 bites számokat nem egyszerű maradékos osztással képezzük le a készletre (az néhány karaktert gyakoribbá tenne), hanem eldobjuk azokat a számokat, amelyek torzítanának (rejection sampling). Ezt automatikus tesztek ellenőrzik, eloszlásvizsgálattal együtt.
Honnan jön a szólista?
A Magyar Ispell helyesírási szótár főneveiből és mellékneveiből, szótári alakban, 4–9 betűvel. Ezeket a Leipzig Corpora Collection mai hír- és Wikipédia-szövegeiben mért gyakoriság szerint rangsoroltuk, és a 7776 leggyakoribbat tartottuk meg. A trágár, sértő és nyomasztó szavakat kézzel szűrtük ki.
Források
Ajánlások: NIST SP 800-63B-4, Authentication and Authenticator Management (2025), 3.1.1.2 (új lapon nyílik). NCSC: Three random words (új lapon nyílik) és Use a strong and separate password for email (új lapon nyílik) (Open Government Licence v3.0). A jelmondatok ereje, OUCH! 2026. május, fordította: NBSZ NKI (új lapon nyílik, PDF) (SANS, CC BY-NC-ND 4.0). Az ajánlásokat saját szavainkkal foglaltuk össze.
Szólista: Magyar Ispell helyesírási szótár (új lapon nyílik) hu_HU 1.9 (Németh László, Godó Ferenc), MPL 2.0 (új lapon nyílik). Gyakorisági rangsor: Leipzig Corpora Collection (új lapon nyílik), hun_news_2020_100K és hun_wikipedia_2021_100K (D. Goldhahn, T. Eckart, U. Quasthoff, LREC 2012), CC BY 4.0 (új lapon nyílik). A származtatott lista (/js/vendor/password-szolista.js) az MPL 2.0 alatt szabadon felhasználható.