Bezpečnostní průvodce
Podpora prohlížečů pro lokální generování hesel
Zjistěte, jak PwdGen funguje v Chrome, Edge, Safari, Firefox a mobilních prohlížečích a co se stane, pokud Web Crypto není k dispozici.
Shrnutí
PwdGen je vytvořen pro moderní prohlížeče, které podporují Web Crypto API. Generování hesel, odhad síly hesla, nástroje pro přístupové fráze a lokální utility běží v prohlížeči, nikoli na serveru PwdGen. Tento design funguje v Chrome, Edge, Safari, Firefox a současných mobilních prohlížečích, pokud je k dispozici crypto.getRandomValues().
Podpora Chrome
Chrome podporuje Web Crypto v zabezpečených kontextech a je primárním prohlížečem používaným pro vývojové kontroly PwdGen. Rozšíření pro Chrome se řídí stejným lokálním modelem: žádné vzdálené skripty, žádná oprávnění k hostiteli a žádné ukládání hesel.
Podpora Edge
Microsoft Edge je založen na Chromiu a podporuje stejné Web Crypto primitivy, které používá PwdGen. Při běžném používání mohou uživatelé Edge lokálně generovat, kopírovat a vyhodnocovat hesla stejně jako uživatelé Chrome.
Podpora Safari
Safari podporuje Web Crypto na moderních verzích macOS a iOS. Uživatelé mobilního Safari by si měli pamatovat, že zkopírovaná hesla mohou zůstat v systémové schránce, dokud nejsou nahrazena, a pro dlouhodobé ukládání by měli použít iCloud Keychain nebo jiného správce hesel.
Podpora Firefox
Firefox podporuje crypto.getRandomValues() a může spouštět generátor lokálně. Některá automatizovaná lokální testovací prostředí měla problémy s resetováním připojení nesouvisející s chováním stránky, takže ověřování v produkci se zaměřuje na API prohlížeče a hranice soukromí, nikoli na jeden lokální nástroj.
Podpora mobilních prohlížečů
Mobilní prohlížeče mohou generovat bezpečná náhodná hesla, pokud poskytují Web Crypto. Rozvržení PwdGen udržuje tlačítka dostatečně velká pro dotykovou interakci a zachovává vygenerovaná hesla zleva doprava i v RTL lokalizacích.
Požadavek na Web Crypto
PwdGen vyžaduje kryptografický náhodný zdroj. Generátor požaduje náhodné bajty z crypto.getRandomValues() a mapuje je na výběr znaků pomocí odmítacího vzorkování. Tím se vyhýbá použití Math.random(), které není určeno pro bezpečnostně citlivé použití.
Pokud Web Crypto není k dispozici
PwdGen selže bezpečně. Stránka zůstane čitelná, ale ovládací prvky hesel jsou deaktivovány a varování vysvětluje, že bezpečné generování vyžaduje moderní prohlížeč. Je lepší nezobrazovat žádné vygenerované heslo, než tiše vytvářet slabé přihlašovací údaje.
Prohlášení o lokálním generování
Generování a kontrola probíhají v prohlížeči. PwdGen nenahrává vygenerovaná hesla, stávající hesla zadaná do kontroléru, přístupové fráze ani exportované hodnoty. Lokální generování nemůže ochránit před kompromitovaným zařízením, škodlivým rozšířením, nebezpečnou schránkou, phishingovou stránkou nebo cílovou službou se slabým ukládáním hesel.
Podrobnosti o implementaci naleznete v metodologii zabezpečení a v whitepaperu o generování hesel na straně klienta.
Často kladené otázky
Které prohlížeče PwdGen podporuje?
PwdGen je navržen pro moderní verze Chrome, Edge, Safari, Firefox a současné mobilní prohlížeče, které poskytují Web Crypto API.
Co se stane, pokud Web Crypto není k dispozici?
Ovládací prvky hesel jsou deaktivovány a zobrazí se varování o kompatibilitě. PwdGen nepřechází na Math.random() pro generování hesel.
Mění podpora prohlížečů model soukromí?
Ne. V podporovaných prohlížečích probíhá generování a vyhodnocování lokálně. Hlavními omezeními soukromí jsou zařízení, rozšíření prohlížeče, schránka a cílová služba.