Polski alfabet ma dziewięć liter z ogonkami i kreskami — ą, ć, ę, ł, ń, ó, ś, ź, ż — których próżno szukać w standardowym zestawie znaków ASCII. Dlatego żaden sensowny generator haseł ich nie używa: gdyby haseł "Żółć123!" nie dało się wpisać identycznie na klawiaturze bez polskiego układu (na przykład w kafejce internetowej za granicą), użytkownik po prostu zostałby zablokowany poza własnym kontem.
Czym jest entropia hasła
Entropia jest mierzona w bitach i zależy od rozmiaru alfabetu znaków i długości hasła: entropia = log2(rozmiar_alfabetu ^ długość). Dłuższe hasło z mniejszym alfabetem (np. tylko małe litery) może mieć wyższą entropię niż krótkie hasło ze złożonym alfabetem.
Dlaczego generator ogranicza się do ASCII
Polskie znaki diakrytyczne kodowane są w Unicode na kilka różnych sposobów w zależności od normalizacji (NFC kontra NFD), więc to samo hasło z "ł" może być zapisane jako dwa różne ciągi bajtów, mimo że wygląda identycznie na ekranie — a porównanie hasła bajt po bajcie wtedy zawodzi. To jeden z powodów, dla których generatory haseł trzymają się podstawowego alfabetu łacińskiego zamiast rozszerzać go o znaki narodowe.
Dlaczego generatory mimo to mieszają typy znaków
Wiele systemów wymaga obecności cyfr, wielkich liter i symboli specjalnych — nie zawsze zwiększa to realną entropię, ale chroni przed najprostszymi atakami słownikowymi i przestarzałymi politykami, które wciąż są powszechne. Dobry generator haseł równoważy długość i różnorodność alfabetu według pożądanego poziomu entropii.
Do czego to się przydaje
- Generowanie silnych haseł do nowych kont bez polegania na ludzkiej pamięci.
- Zrozumienie, dlaczego wymóg "co najmniej jedna cyfra i symbol" nie jest najważniejszym czynnikiem bezpieczeństwa.
- Szacowanie realnej odporności istniejących haseł na atak brute force.
Frazy hasłowe kontra losowe znaki
Fraza hasłowa złożona z kilku losowych słów słownikowych (na przykład „correct-horse-battery-staple") może mieć wyższą entropię niż krótkie hasło ze znakami specjalnymi, a jednocześnie jest znacznie łatwiejsza do zapamiętania przez człowieka. Dla haseł przechowywanych w menedżerze haseł i nigdy niewpisywanych ręcznie nie ma to znaczenia — losowe znaki dają wyższą entropię na znak. Ale dla „hasła głównego" samego menedżera haseł, które trzeba pamiętać, fraza hasłowa jest często praktyczniejszym wyborem.