Diceware 口令短语生成器

真实使用场景

• 生成一个真能背下来的主密码

  密码管理器的主密码是唯一一个你不能存进管理器里的凭证, 得记在 脑子里, 还要在手机、被锁住的电脑、别人机器上手敲。一串 20 位随机 字符在这种场景下太难顶。换个做法: 选英文模式、6 个词、连字符, 附加项全关, 得到类似 `cedar-violet-mantle-quartz-ember-trout`, 62 bits, 评级"强", 今晚念三遍就能记一辈子。把它敲进管理器的主密码 框, 然后关掉这个页面。整个过程口令没有被保存, 也没有发到任何地方。

• 生成一个家里人不会念错的 Wi-Fi / 物联网密码

  访客 Wi-Fi 密码写成 `xK9#mq$2Lp!`, 贴在冰箱上每次都被照着抄错, 客人直接放弃。生成一个 4 词口令并打开"追加随机数字": `garden-rocket-pillow-lemon7`。隔着房间也读得清, 用电视遥控器输 也不上火, 而 ~42 bits 远超路过型攻击者对 WPA2 的暴力尝试。把这四个 单词用大白话写在便利贴上, 谁都不会敲错。

• 为共享团队密码库准备一个应急恢复短语

  你在给团队的密钥库设置一个"破玻璃"应急凭证, 而它在事故时要靠电话 口述, 不是粘贴。用 7 个词、空格分隔、每词首字母大写: `Harbor Velvet Cinder Maple Otter Quartz Drift`。电话里把每个词 拼一遍, 对方复述确认。~72 bits 足够做密码库根凭证, 而且"拼七个 词典单词"在延迟和压力之下, 比"拼 H、大写 K、美元符号、九……" 靠谱得多。

• 不用密码管理器也能给每个网站配独立口令

  你就是不想装密码管理器, 但又想每个站点用不同凭证。给每个账号现 生成一个 5 词口令(`bronze-meadow-saddle-twine-pelican`), 写进 一本放在家里的纸质本子, 就完事。每个约 52 bits, 够强、偶尔重敲 也记得住, 而且因为每个都是独立随机的, 一个站点泄露了也透露不出 其他站点的任何信息。本子始终离线, 口令从不进 URL、不上服务器。

• 给不信熵值的同事做个现场演示

  团队里有人坚持 `P@ssw0rd2024!` 已经"够复杂了"。把这个工具和密码 强度检测器并排打开。给他看一个 6 词口令读数是 62 bits / 破解要 几百年, 而他那个 11 位 l33t 密码只有 ~36 bits, 还在每一份泄露字典 里。上下拖词数滑块, 看熵值每加一个词跳约 10.3 bits, 一个活的、 诚实的演示, 说明"靠随机性堆长度"为什么胜过"字符大杂烩"。每词 bits 的读数让这套数学没法被糊弄过去。

常见踩坑

• 把首字母大写(或加个能猜到的 "1!" 后缀)并不能实质提升熵, 攻击者默认会试这些变换。这个工具刻意不把首字母大写计入 bits 读数。真正的强度来自加词。如果某个站点要求"必须含大写"那就开, 但同时也多加一个词。

• 跨站点复用同一个口令依然是复用。6 词口令对暴力破解很强, 但你要是把它敲进钓鱼页面、或者某个被攻破的站点把它明文存了, 长度救不了你。给每个高价值账号现生成一个新的。

• 别手动"优化"输出。有人会打乱词序或把某个字母换成符号求心安, 但手动改动会聚集到可预测的模式上, 反而可能降低有效熵。相信随机抽取的结果; 想更强就加词数, 英文每加一词恰好 +10.34 bits。

隐私说明