在线密码生成器：如何创建强大、安全、随机的密码

在每年有数十亿凭证在数据泄露中曝光的世界里，为每个账户使用强大、唯一的密码已不再是可选项。然而，大多数人仍然依赖弱密码和重复使用的密码，攻击者可以在几秒内破解。随机密码生成器消除了人类偏见，创建能够抵抗暴力破解、字典攻击和彩虹表攻击的密码学强密码。本综合指南涵盖了生成安全密码所需的一切知识。

1. 为什么强密码比以往更重要

凭证盗窃的规模已达到惊人的程度。仅 2024 年，就有超过 15 亿个唯一的用户名-密码组合在数据泄露中泄露。攻击者利用这些泄露的凭证进行自动化凭证填充攻击，在数百个热门服务上尝试每个被盗密码。

• 凭证填充攻击每小时测试数百万个被盗密码。
• 一个重复使用的密码可能导致电子邮件、银行、云存储和社交媒体全面沦陷。
• Hashcat 等自动化工具在消费级 GPU 上每秒可测试 1000 亿个密码哈希。
• 根据 IBM 的数据，2024 年数据泄露的平均成本达到 488 万美元。

2. 密码熵详解：安全背后的数学

密码熵以比特为单位衡量密码的不可预测性。计算公式为：H = L * log2(R)，其中 L 是密码长度，R 是字符池大小。更高的熵意味着密码更难猜测。

字符池大小及每字符熵

常见密码长度的总熵

2024-2025 年推荐熵目标：

• 一般网络账户：60+ 位
• 金融和电子邮件账户：80+ 位
• 加密密钥和主密码：100+ 位

# Entropy Formula
H = L * log2(R)

# Example: 16-char password, full ASCII (95 chars)
H = 16 * log2(95) = 16 * 6.57 = 105.1 bits

# Time to brute-force at 100 billion hashes/sec:
# 2^105.1 / 100,000,000,000 = ~1.29 * 10^21 seconds
# = ~40.9 trillion years

# For comparison, the universe is ~13.8 billion years old

3. 什么使密码变得强大

强密码有三个基本属性：长度、随机性和唯一性。复杂性（混合字符类型）有帮助但次要于这三个属性。

4. 密码长度 vs 复杂性：哪个更重要？

答案很明确：长度胜出。更长但字符集较小的密码几乎总是比更短但字符集较大的密码更强。

看这两个密码：

k9$B（4 字符，完整 ASCII）：熵 = 4 * 6.57 = 26.3 位
correcthorsebatterystaple（25 个小写字符）：熵 = 25 * 4.70 = 117.5 位

各字符集达到 80 位熵所需长度：

5. NIST 2024 密码指南：有什么变化

NIST 更新了其数字身份指南（SP 800-63B），反映了对密码安全的现代理解。

# NIST SP 800-63B (2024) Summary
+----------------------------------+----------------------------------+
| REMOVED (DO NOT)                 | REQUIRED / RECOMMENDED           |
+----------------------------------+----------------------------------+
| Composition rules                | Min 8 chars (recommend 15+)      |
| Forced periodic rotation         | Allow 64+ characters             |
| Password hints                   | Check against breach databases   |
| Security questions (KBA)         | Allow paste in password fields   |
| Truncating passwords             | Support all Unicode characters   |
| Blocking paste                   | Rate-limit failed attempts       |
+----------------------------------+----------------------------------+

6. 常见密码攻击及随机密码如何防御

了解攻击者如何破解密码有助于解释为什么随机生成是必要的。

# Attack Speed Reference (2024 Hardware)
# ─────────────────────────────────────────────────
# Hash Type        │ Speed (hashes/sec)  │ Hardware
# ─────────────────┼─────────────────────┼─────────
# MD5              │ 150 billion         │ RTX 4090
# SHA-256          │ 22 billion          │ RTX 4090
# bcrypt (cost=12) │ 32,000              │ RTX 4090
# Argon2id         │ ~1,000              │ RTX 4090
# ─────────────────────────────────────────────────
# A 16-char full ASCII password (95^16):
# MD5:      95^16 / 150e9 = ~2.9e17 seconds = ~9.2 billion years
# Argon2id: 95^16 / 1000  = ~4.4e25 seconds = ~1.4e18 years

7. 以编程方式生成密码

如果你需要在应用中生成密码，必须使用密码学安全随机数生成器（CSPRNG）。

JavaScript / Node.js（使用 Web Crypto API）

// Password Generator using Web Crypto API (browser & Node.js 19+)
function generatePassword(length = 16, options = {}) {
  const {
    uppercase = true,
    lowercase = true,
    digits = true,
    symbols = true,
  } = options;

  let charset = '';
  if (uppercase) charset += 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
  if (lowercase) charset += 'abcdefghijklmnopqrstuvwxyz';
  if (digits)    charset += '0123456789';
  if (symbols)   charset += '!@#$%^&*()_+-=[]{}|;:,.<>?';

  if (charset.length === 0) {
    throw new Error('At least one character type must be enabled');
  }

  // Use crypto.getRandomValues for cryptographic security
  const array = new Uint32Array(length);
  crypto.getRandomValues(array);

  let password = '';
  for (let i = 0; i < length; i++) {
    password += charset[array[i] % charset.length];
  }

  return password;
}

// Usage
console.log(generatePassword(16));
// Example output: "k9$Bm2!zYp@W7xQf"

console.log(generatePassword(20, { symbols: false }));
// Example output: "kR9mB2pTzY0WdXf7Qa4J"

// Calculate entropy
const poolSize = 95; // full ASCII
const length = 16;
const entropy = length * Math.log2(poolSize);
console.log(`Entropy: ${entropy.toFixed(1)} bits`);
// Output: "Entropy: 105.1 bits"

Python（使用 secrets 模块）

import secrets
import string
import math

def generate_password(length=16, uppercase=True, lowercase=True,
                      digits=True, symbols=True):
    """Generate a cryptographically secure random password."""
    charset = ''
    if uppercase: charset += string.ascii_uppercase
    if lowercase: charset += string.ascii_lowercase
    if digits:    charset += string.digits
    if symbols:   charset += string.punctuation

    if not charset:
        raise ValueError('At least one character type must be enabled')

    # secrets.choice uses os.urandom (CSPRNG)
    password = ''.join(secrets.choice(charset) for _ in range(length))
    return password


def generate_passphrase(num_words=6, separator='-'):
    """Generate a Diceware-style passphrase."""
    # In production, use a proper Diceware word list
    # This is a simplified example
    import pathlib
    wordlist_path = '/usr/share/dict/words'
    words = [w.strip().lower() for w in open(wordlist_path)
             if 3 <= len(w.strip()) <= 8 and w.strip().isalpha()]
    return separator.join(secrets.choice(words) for _ in range(num_words))


def password_entropy(password, pool_size):
    """Calculate password entropy in bits."""
    return len(password) * math.log2(pool_size)


# Usage
pw = generate_password(16)
print(f"Password: {pw}")
print(f"Entropy:  {password_entropy(pw, 95):.1f} bits")

pp = generate_passphrase(6)
print(f"Passphrase: {pp}")
# Example: "marble-tornado-pencil-silk-anchor-cloud"

在浏览器控制台快速生成密码

// Quick one-liner for browser console
// Generates a 20-char password with full ASCII
Array.from(crypto.getRandomValues(new Uint32Array(20)),
  v => "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*"[v % 72]
).join('')

日常使用时，只需使用我们的在线密码生成器工具。

8. 密码短语 vs 密码：哪个更好？

密码短语是由多个随机选择的单词组成的密码。最著名的方法是 Diceware。

密码短语与随机密码对比

何时使用密码短语：

• 密码管理器的主密码
• 全盘加密密码
• SSH 密钥密码短语
• 任何需要手动输入密码的场景

何时使用随机字符密码：

• 密码管理器管理的所有账户
• API 密钥和服务令牌
• 需要每字符最大熵时

# Entropy comparison: Passphrase vs Random Password
# ─────────────────────────────────────────────────────────────
# Type                  │ Characters │ Entropy    │ Brute-force
# ──────────────────────┼────────────┼────────────┼────────────
# 4-word Diceware       │ ~22 chars  │ 51.7 bits  │ ~71 years
# 6-word Diceware       │ ~35 chars  │ 77.5 bits  │ ~4.7e15 yrs
# 8-word Diceware       │ ~47 chars  │ 103.4 bits │ ~3.2e23 yrs
# 12-char random ASCII  │ 12 chars   │ 78.8 bits  │ ~9.5e15 yrs
# 16-char random ASCII  │ 16 chars   │ 105.1 bits │ ~1.3e24 yrs
# 20-char random ASCII  │ 20 chars   │ 131.4 bits │ ~1.1e31 yrs
# ─────────────────────────────────────────────────────────────
# (Assuming 100 billion hashes/sec with SHA-256)

9. 密码管理器：密码生成器的必备搭档

随机密码生成器只有在你有办法存储和检索密码时才有用。这就是密码管理器的作用。

为什么你需要密码管理器：

• 普通人有 100+ 个在线账户，无法记住 100 个独特的随机密码。
• 密码管理器自动填充凭证，比手动输入更快更安全。
• 大多数密码管理器包含内置密码生成器。
• 密码管理器使用 Argon2id 或 PBKDF2 等算法加密你的保管库。

安全使用密码管理器的提示：

10. 双因素认证：必要的第二层防护

即使最强的密码也可能通过钓鱼、恶意软件或服务端泄露而被攻破。双因素认证添加了仅凭密码无法绕过的第二道验证。

2FA 方法安全性排名

11. 使用我们的在线密码生成器

我们的免费在线密码生成器直接在浏览器中创建密码学安全的随机密码。不会向任何服务器发送密码。

• 可配置 4 到 128 字符的长度
• 独立切换大写、小写、数字和符号
• 排除易混淆字符（0/O, 1/l/I）
• 实时熵计算和强度指示器
• 一键复制到剪贴板
• 完全在浏览器中运行，无服务器通信

常见问题