Sikkerhedsguide

Hvad er Web Crypto API?

Lær, hvordan Web Crypto API understøtter browser-lokal tilfældig adgangskodegenerering, og hvorfor det adskiller sig fra almindelig JavaScript-tilfældighed.

Resumé

Web Crypto API er en browserstandard til kryptografiske operationer. Til adgangskodegenerering er den vigtigste funktion crypto.getRandomValues(), som giver websider adgang til kryptografisk stærke tilfældige værdier, der er egnede til at vælge adgangskodetegn.

Hvorfor det betyder noget for adgangskoder

Adgangskoder har brug for uforudsigelighed. Almindelig JavaScript-tilfældighed var ikke designet til hemmeligheder. Web Crypto findes, så browsere kan eksponere sikrere kryptografiske primitiver gennem en standard API. PwdGen bruger denne API til afgrænset tilfældig udvælgelse og undgår Math.random() til adgangskodegenerering.

Operativsystemgrænse

Web Crypto betyder ikke, at en side styrer hardware-entropikilden direkte. Browsere er typisk afhængige af operativsystemet og platformens kryptografiske udbyder. En omhyggelig metodologi bør sige, at Web Crypto leverer CSPRNG-output, ikke at hvert kald læser fysisk støj fra CPU’en.

Hvordan PwdGen bruger det

PwdGen anmoder om 32-bit tilfældige heltal, bruger afvisningssampling for at undgå modulo-bias, mapper accepterede værdier til tegnindekser og blander påkrævede tegnklasser. Dette holder implementeringen lille og reviderbar.

Detaljeret vejledning

Denne guide fokuserer på at forstå Web Crypto API som en browser-sikkerhedsprimitiv. Den er skrevet til brugere og udviklere, der ønsker at vide, hvorfor browser-tilfældighed betyder noget, så det praktiske mål er ikke at skabe et dramatisk sikkerhedskrav. Målet er at vælge en adgangskodevane, der kan overleve daglig brug: login-formularer, adgangskodeadministratorer, mobile tastaturer, kontogendannelse, delte enheder og lejlighedsvise tjenester med mærkelige valideringsregler. En sikker anbefaling er kun nyttig, hvis en rigtig person kan følge den konsekvent.

Det sikreste udgangspunkt er tilfældighed plus unikhed. Tilfældighed betyder, at værdien er valgt fra et stort rum af en kryptografisk egnet tilfældig kilde, ikke opfundet fra en fødselsdag, et kæledyrsnavn, et tastaturmønster eller et yndlingscitat. Unikhed betyder, at den samme adgangskode ikke bruges andre steder. En adgangskode, der er lang, men genbrugt, kan fejle hurtigt efter ét uafhængigt databrud, mens en unik tilfældig adgangskode begrænser skaden til den enkelte konto, hvor den blev brugt.

Til dette emne er en praktisk forudindstilling moderne Chrome, Edge, Safari og Firefox med crypto.getRandomValues tilgængelig. Du kan anvende den forudindstilling med browserstøttesiden og derefter gemme den endelige værdi i en betroet adgangskodeadministrator. PwdGen genererer værdier lokalt i browseren med Web Crypto; den genererede adgangskode sendes ikke til en PwdGen-server. Det lokale design reducerer servereksponering, men beskytter ikke mod alle trusler. En ondsindet browserudvidelse, en kompromitteret enhed, en phishing-side eller usikker udklipshåndtering kan stadig eksponere en hemmelighed efter den er genereret.

De mest almindelige problemer at undgå er gamle browsere, usikre kontekster, polyfills, der stille bruger Math.random, og forveksling af kodning med kryptering. Disse problemer betyder noget, fordi angribere sjældent behøver at brute-force alle mulige adgangskoder, når menneskelige vaner giver dem en genvej. Credential stuffing, phishing, lækkede adgangskodelister og misbrug af kontogendannelse er ofte mere realistiske end en ren matematisk søgning. Derfor kombinerer det bedste råd adgangskodekvalitet med kontoniveaukontroller som MFA, adgangsnøgler, opbevaring af gendannelseskoder og regelmæssig gennemgang af gendannelses-e-mail eller telefonindstillinger.

Brug denne tjekliste, når du anvender anbefalingen:

• Brug en moderne browser.
• Undgå værktøjer, der implementerer deres egen tilfældige kilde.
• Forstå, at Web Crypto ikke fikser malware.
• Læs metodologi, før du stoler på en generator.

Hvis et websted afviser den ideelle indstilling, skal du ikke tvinge adgangskoden ind i et svagere mønster manuelt. Juster én variabel ad gangen. Hvis symboler afvises, behold store bogstaver, små bogstaver og tal aktiveret og øg længden. Hvis en maksimal længde er lav, brug den største accepterede længde og sørg for, at værdien er unik. Hvis en adgangskode skal læses højt, udskrives eller skrives på en tv- eller routerskærm, overvej at udelade forvirrende tegn og øge længden for at kompensere for det mindre alfabet.

Husk endelig grænsen for adgangskoderåd. En stærk adgangskode er ét lag af forsvar, ikke en garanti. Den kan ikke gøre en phishing-side sikker, fikse malware eller kompensere for en tjeneste, der opbevarer legitimationsoplysninger dårligt. Den nyttige vane er kedelig, men holdbar: generer en unik værdi, opbevar den sikkert, beskyt gendannelsesvejen, og udskift den hurtigt, hvis du mistænker eksponering.

Et sikkert næste skridt

Efter at have læst denne guide, lav én lille kontoaudit i stedet for at prøve at fikse alt på én gang. Vælg den konto, der ville forårsage mest besvær, hvis den blev overtaget, bekræft at dens adgangskode er unik, og tjek gendannelses-e-mailen, gendannelsestelefonen, MFA-metoden og opbevaring af backup-koder. Hvis nogen del af den kæde er svag, forbedr den del, før du går videre til konti med lavere risiko. Denne rækkefølge holder arbejdet overskueligt og beskytter de konti, som angribere mest sandsynligt vil bruge som springbræt. For hvad er web crypto api?, er det bedste resultat en gentagelig vane: generer lokalt, opbevar omhyggeligt, og undgå genbrug.

Ofte stillede spørgsmål

Hvilken del af Web Crypto bruger PwdGen?

PwdGen bruger crypto.getRandomValues() til at anmode om kryptografisk stærke tilfældige værdier fra browseren.

Betyder Web Crypto, at hver byte kommer direkte fra hardware?

Nej. Browsere bruger generelt operativsystemets kryptografiske udbydere seedet med højkvalitetsentropi; browseren og OS vælger implementeringen.

Er Web Crypto tilgængelig i alle browsere?

Den er tilgængelig i moderne browsere. Hvis den mangler, deaktiverer PwdGen generering i stedet for at falde tilbage til usikker tilfældighed.