מחולל סיסמה קלה לזכירה

במשך עשרות שנים מדיניות אבטחה דרשה תערובת של אותיות גדולות, ספרות וסימנים (למשל Tr0ub4dour&3). הבעיה היא שבני אדם מתקשים לזכור אותן, ולכן רושמים על פתקים, חוזרים עליהן באתרים או משנים אותן באופן צפוי (מ-P@ssword1 ל-P@ssword2).

אלגוריתמי פיצוח מודרניים מפצחים סיסמאות סמלים של 8 תווים תוך דקות. המדד האמיתי מול מחשב הוא אנטרופיה (אורך).

שיטת Diceware שמחברת 4 או 5 מילים אקראיות (כמו correct-horse-battery-staple) יוצרת ביטוי של יותר מ-25 תווים. מספר הצירופים כל כך גדול שמחשב-על יזדקק למיליוני שנים, ואדם יכול לזכור את הביטוי מיד באמצעות תמונה מנטלית.

אם אתם מעדיפים לא להשתמש במילים אקראיות, השיטה המנמונית היא חלופה מצוינת. היא נשענת על הזיכרון ארוך הטווח שכבר יש לכם.

לדוגמה, משפט שלא תשכחו: "In 1969, Neil Armstrong walked on the moon for the 1st time!"

המחולל המנמוני של Utiliome שולף את התו הראשון של כל מילה, שומר את הספרות ואת הפיסוק, והתוצאה: I1,NAwotmft1t!

מתקבלת סיסמה של 14 תווים עם אותיות גדולות וקטנות, ספרות וסימנים, שעומדת בדרישות IT ארגוניות. לתוקף זה נראה כמו ג'יבריש, אבל לכם קל לשחזר אותה בראש פשוט על ידי אמירת המשפט.

לא כל מחולל אקראי שווה. אתרים חובבניים נשענים על Math.random() של JavaScript. זהו כשל אבטחה, כי Math.random() הוא מחולל פסאודו-אקראי (PRNG) שצפוי לתוקפים.

מחולל הסיסמאות של Utiliome משתמש אך ורק ב-window.crypto.getRandomValues(). הוא שואב אנטרופיה קריפטוגרפית אמיתית ממערכת ההפעלה (macOS או Windows) מאירועי חומרה כמו תנועות עכבר ורעש תרמי של המעבד. מילות ה-Diceware בלתי ניתנות לחיזוי מתמטי.

הערת מתודולוגיה: בביקורות האבטחה של 2026 אימתנו סטטית ש-100% מבחירות האינדקס האקראיות לרשימת EFF עוברות בצינור WebCrypto.

רעיון Diceware המקורי הומצא על ידי Arnold Reinhold ב-1995. הרשימה המקורית כללה מילים נדירות, שגיאות כתיב ואיות לא אינטואיטיבי שתסכלו משתמשים.

ב-2016 פרסמה Electronic Frontier Foundation (EFF) רשימה חדשה וממוטבת. היא סיננה מילים פוגעניות, הומופונים (מילים שנשמעות זהה אך נכתבות אחרת) ומילים ארוכות משישה אותיות.

Utiliome מטמיע את רשימת EFF הרשמית ישירות בזיכרון האפליקציה. כך ביטויי הסיסמה קלים להקלדה, להגייה ולזכירה.

אל תשתמשו במחולל מקוון שדורש בקשת רשת כדי להציג תוצאה. אם השרת יוצר את הסיסמה, מנהל השרת — או תוקף שמנטר את הרשת — יכול לרשום אותה יחד עם כתובת ה-IP.

Utiliome עובד בארכיטקטורה מקומית של אפס אמון. HTML, CSS ולוגיקת WebAssembly/JavaScript נטענים לדפדפן, וחישוב הסיסמה רץ על המעבד המקומי. אחרי טעינת העמוד אפשר לנתק את הנתב, והמחולל ימשיך לעבוד.

מנהלי סיסמאות חיוניים לאבטחה מודרנית: הם יוצרים ושומרים סיסמאות ג'יבריש לכל שירות. אבל נוצרת נקודת כשל אחת: צריך לזכור "סיסמת אב" חזקה במיוחד כדי לפענח את הכספת.

אם שוכחים את סיסמת האב, מאבדים גישה לחיים הדיגיטליים. אם היא חלשה, תוקף יכול לפצח את הכספת בכוח גס.

מחולל הסיסמאות של Utiliome נבנה בדיוק לבעיה הזו. ביטוי Diceware של 4 או 5 מילים נועל את כספת המנהל בהצפנה שלא נפרצת, ובלי שתשכחו את הביטוי.

מתי להשתמש בכל שיטה: Diceware מול מנהלי סיסמאות.