Una password lunga, casuale e diversa per ogni servizio è la difesa più semplice contro chi prova le password a raffica su WinBox, SSH, API o sulla tua posta. Questo generatore la crea nel tuo browser e la verifica subito sugli archivi di password rubate di Have I Been Pwned: quella che ti propone non compare in nessun furto di dati noto.
La tua password nuova
Generata nel tuo browser con il generatore casuale crittografico (crypto.getRandomValues): maiuscole, minuscole, cifre e simboli, senza i caratteri che nel terminale di RouterOS hanno un significato speciale ($ ? ; \ " '). Non passa da nessun server.
Dove la tengo? Non salvarla in chiaro in un foglio Excel, nel Blocco note, in una mail o in un post-it: chi entra nel tuo PC la trova subito. Usa un gestore di password, che la tiene cifrata e la compila al posto tuo. Uno valido e gratuito, open source, è Bitwarden: non sono affiliato, scegli quello che preferisci.
Verifica: Pwned Passwords di Have I Been Pwned (Troy Hunt), licenza CC BY 4.0. A loro arrivano solo i primi 5 caratteri dell'impronta SHA-1 della password generata.
Come viene generata?
Con il generatore casuale crittografico del browser (crypto.getRandomValues), lo stesso usato per le chiavi di cifratura: ogni carattere è scelto in modo uniforme, senza schemi prevedibili. La password contiene sempre maiuscole, minuscole, cifre e simboli. Non passa da nessun server: la pagina non la manda a me e non la registra.
Restano fuori i caratteri che si confondono a occhio (I e l, O e 0) e quelli che nel terminale di RouterOS hanno un significato speciale: $ (variabili), ? (aiuto), ; (separatore di comandi), \ e le virgolette. Così la puoi incollare in un comando /user set senza sorprese.
Come fa a sapere che non è già stata rubata?
Appena la password è pronta, il browser ne calcola l’impronta SHA-1 e manda a Have I Been Pwned solo i primi 5 caratteri dell’impronta; il confronto con le impronte rubate si fa sul tuo dispositivo (si chiama k-anonymity). Con 20 o più caratteri casuali trovarla negli archivi è praticamente impossibile, ma la verifica te lo conferma. Se vuoi controllare una password che usi già, c’è la pagina La tua password è stata rubata?.
Quanto deve essere lunga?
Almeno 20 caratteri: con questo generatore valgono circa 120 bit di entropia, fuori dalla portata di qualunque attacco a forza bruta. Allunga pure il cursore fino a 64 per le password che non digiti mai a mano, come quelle salvate nel gestore di password o le chiavi condivise di una VPN.
Dove la salvo?
Non in chiaro: niente fogli Excel, Blocco note, mail o post-it. Usa un gestore di password, che la tiene cifrata, la sincronizza fra i dispositivi e la compila al posto tuo. Uno valido, gratuito e open source è Bitwarden: non sono affiliato, scegli quello che preferisci. Per il router, oltre alla password, segui l’howto Hardening di base del router MikroTik.
Domande frequenti
La password generata viene salvata da qualche parte?
No. Esiste solo nella pagina aperta nel tuo browser: chiusa la pagina, sparisce. A Have I Been Pwned arrivano solo 5 caratteri della sua impronta, da cui non si risale alla password.
Posso usarla come password di un router MikroTik?
Sì: i caratteri sono scelti apposta per funzionare anche nel terminale di RouterOS, in WinBox e in WebFig. Ricordati di cambiare anche l’utente admin e di chiudere i servizi di gestione verso Internet.
È gratis?
Sì, come gli altri strumenti della sezione Tools, e non serve essere iscritti al dojo.