Tietoja tästä generaattorista
Tämä esiasetus luo URL-turvallisen korkeaentropia-arvon HMAC JWT-allekirjoitukseen. Se on kehittäjän salaisuus, ei käyttäjän salasana, eikä se koskaan poistu tästä selaimesta.
Tämä esiasetus alkaa url-safe-tilassa ja luo kerralla 10 riippumatonta tulosta. Kaikki näkyvät asetukset ovat säädettävissä, eikä luotuja arvoja lähetetä PwdGen:ään.
Milloin käyttää
- Uuden tunnistetiedon luominen tähän käyttötarkoitukseen
- Uudelleenkäytetyn tai heikon salasanan korvaaminen
- Arvojen luominen paikallisesti ennen turvallista tallennusta
Aakkoston koko, entropia ja raa'an voiman hyökkäysoletukset
Teoreettinen entropiakatto lasketaan kaavalla H = L × log2(A), jossa L on luotu pituus ja A on tällä hetkellä sallittujen merkkien määrä.
| Pituus | Aakkosto | Hakutila | Entropiakatto | Keskimäärin 10 miljardilla arvauksella/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bittiä | 6.24e97 years |
Tärkeää: nämä ovat matemaattisia arvioita tasaisesti satunnaisille arvoille. Pakolliset sijainnit, rajoitetut määrät, toistuvat salasanat, sanakirjakuviot, vuotaneet tunnukset ja todelliset salasanan tiivistyskustannukset voivat muuttaa tulosta merkittävästi. Luku ei ole turvallisuustae.
JWT-allekirjoitussalaisuuden käyttöönotto-ohjeet
HS256:ää varten käytä vähintään 256 bittiä tasaisesti satunnaista avainmateriaalia. HS384 ja HS512 käyttävät eri SHA-2-tulostuskokoja, mutta pidemmän algoritmin valinta ei korjaa heikkoa vahvistusta, vuotaneita avaimia tai algoritmisekaannusvirheitä.
Vastaava terminaali- ja Node.js-luonti
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Tallennus ja rotaatio
- Pidä allekirjoitusavaimet poissa Gitistä, frontend-paketeista, URL-osoitteista, analytiikasta ja sovelluslokeista.
- Käytä salaisuuksien hallintaa, Vaultia, KMS:ää tai suojattua ympäristömuuttujaa.
- Käytä hallittua kid-strategiaa avaimia kierrätettäessä.
- Valitse RS256 tai ES256, kun varmistajien tulisi pitää hallussaan vain julkista avainta.
Heksa, Base64 ja Base64URL ovat koodauksia – eivät salausta. Turvallisuus tulee satunnaisista tavuista ja siitä, miten allekirjoitusavainta suojataan.
Tuloksen turvallinen käyttö
- Tarkista kohteen nykyiset salasanasäännöt
- Käytä yksilöllistä tulosta ja ota MFA käyttöön, jos mahdollista
- Säilytä palautuskoodit erillään salasanasta
Luonti- ja yksityisyysmenetelmä
Esiasetus käyttää selaimen Web Crypto API:ää satunnaisvalintaan. Tulosten uudelleenluonti, asetusten muuttaminen, valinta ja kopiointi eivät lähetä luotuja tunnuksia PwdGen:ään. Salasanan murtamisajan arvioija toimii myös paikallisesti ja on arvio, ei takuu.
JWT-salaisuusgeneraattori FAQ
Kuinka pitkä HS256 JWT-salaisuuden tulisi olla?
Käytä vähintään 256 bittiä tasaisesti satunnaista avainmateriaalia HS256. Tämä sivu luo 64-merkin Base64URL-aakkoston arvon, joka tarjoaa suuremman teoreettisen hakutilan, kun se luodaan tasaisesti.
Pitäisikö JWT-salaisuus tallentaa ympäristömuuttujaan?
Ympäristömuuttuja on turvallisempi kuin lähdekoodi, mutta se voi silti vuotaa prosessitarkkailun, lokien tai käyttöönottotyökalujen kautta. Hallittu salaisuuksien säilytys tai KMS on suositeltavampi tuotantojärjestelmissä.
Milloin minun tulisi käyttää RS256 tai ES256 HMAC sijaan?
Käytä epäsymmetristä allekirjoitusta, kun vahvistajilla ei tulisi olla yksityistä allekirjoitusavainta tai kun useat palvelut tarvitsevat julkisen avaimen vahvistusta. Suojaa yksityinen avain ja vaihda avaimia hallitulla avaintunnistestrategialla.