O tomto generátoru
Tato předvolba vytvoří vysoce entropickou hodnotu bezpečnou pro URL pro podepisování HMAC JWT. Jedná se o vývojářské tajemství, nikoli uživatelské heslo, a toto zařízení nikdy neopouští.
Tento přednastavený režim začíná v režimu url-safe a generuje 10 nezávislých výsledků najednou. Všechna viditelná nastavení zůstávají upravitelná a vygenerované hodnoty nejsou odesílány na PwdGen.
Kdy použít
- Vytvoření nového přihlašovacího údaje pro tento konkrétní případ použití
- Nahrazení znovu použitého nebo slabého hesla
- Generování hodnot lokálně před bezpečným uložením
Velikost abecedy, entropie a předpoklady pro útok hrubou silou
Teoretický strop entropie se vypočítá jako H = L × log2(A), kde L je generovaná délka a A je počet aktuálně povolených znaků.
| Délka | Abeceda | Prohledávací prostor | Strop entropie | Průměr při 10 miliardách odhadů/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bitů | 6.24e97 years |
Důležité: jedná se o matematické odhady pro rovnoměrně náhodné hodnoty. Požadované pozice, omezené počty, opakovaná hesla, slovníkové vzory, prozrazené přihlašovací údaje a skutečné náklady na hashování hesel mohou výsledek podstatně změnit. Tento údaj není zárukou bezpečnosti.
Pokyny pro nasazení podpisového tajemství JWT
Pro HS256 použijte alespoň 256 bitů rovnoměrně náhodného klíčového materiálu. HS384 a HS512 používají různé velikosti výstupu SHA-2, ale výběr delšího algoritmu neopraví slabé ověření, prozrazené klíče nebo chyby záměny algoritmů.
Ekvivalentní generování v terminálu a Node.js
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Ukládání a rotace
- Uchovávejte podpisové klíče mimo Git, frontendové balíčky, URL, analytiku a aplikační logy.
- Použijte správce tajemství, Vault, KMS nebo chráněnou proměnnou prostředí.
- Při rotaci klíčů používejte řízenou strategii kid.
- Zvolte RS256 nebo ES256, když by ověřovatelé měli držet pouze veřejný klíč.
Hex, Base64 a Base64URL jsou kódování – nikoli šifrování. Bezpečnost pochází z náhodných bajtů a způsobu ochrany podpisového klíče.
Jak bezpečně používat výsledek
- Zkontrolujte aktuální pravidla pro hesla v cílovém systému
- Použijte jedinečný výsledek a pokud je k dispozici, povolte MFA
- Uložte záložní kódy odděleně od hesla
Metoda generování a ochrana soukromí
Přednastavení používá pro náhodný výběr prohlížeč Web Crypto API. Regenerace, změna nastavení, výběr a kopírování výsledků neodesílají vygenerované přihlašovací údaje na PwdGen. Odhadovač času prolomení hesla také běží lokálně a je odhadem, nikoli zárukou.
Generátor JWT tajemství FAQ
Jak dlouhé by mělo být tajemství HS256 JWT?
Použijte alespoň 256 bitů rovnoměrně náhodného klíčového materiálu pro HS256. Tato stránka generuje 64znakovou hodnotu z abecedy Base64URL, což při rovnoměrném generování poskytuje větší teoretický vyhledávací prostor.
Mělo by být tajemství JWT uloženo v proměnné prostředí?
Proměnná prostředí je bezpečnější než zdrojový kód, ale může uniknout prostřednictvím inspekce procesů, protokolů nebo nasazovacích nástrojů. Pro produkční systémy je vhodnější spravovaný úložiště tajemství nebo KMS.
Kdy mám použít RS256 nebo ES256 místo HMAC?
Použijte asymetrické podepisování, pokud by ověřovatelé neměli vlastnit soukromý podpisový klíč nebo pokud více služeb potřebuje ověřování veřejným klíčem. Chraňte soukromý klíč a rotujte klíče pomocí řízené strategie identifikátorů klíčů.