密码生成器
高强度随机密码 – 免费、无跟踪、无 Cookie、无第三方脚本。
选择设置后点击生成密码。密码只在那一刻、只为你生成，并且不会保存在任何地方。
为什么选择 Klarpass，而不是随便一个在线生成器？
网上大多数密码生成器都以 JavaScript 形式在你的浏览器中运行 – 而这些页面往往还会加载第三方的标签管理、统计分析、广告或 A/B 测试脚本。其中任何一个脚本都能读取页面中的密码。我们选择了另一条路，并公开说明这意味着什么：
| Klarpass | 典型的浏览器内生成器 | |
|---|---|---|
| 随机来源 | 直接使用内核的密码学随机数生成器（Linux getrandom） | 浏览器的随机源，有时还经过过时的附加生成器（例如 RC4），并以 Math.random 作为静默后备 |
| 均匀分布 | 精确：拒绝采样，每个字符出现的概率完全相同 | 常常只是简单取模，会略微偏向某些字符 |
| 页面上的脚本 | 只有我们自己为“复制”按钮写的几行代码，由内容安全策略（CSP）锁定为这段代码本身，且无法访问网络；第三方脚本在技术上被完全排除 | 常有第三方的标签管理、跟踪和测试脚本 |
| Cookie 与跟踪 | 没有，因此也没有同意弹窗 | 很常见，并带有同意弹窗 |
| 默认强度 | 从 94 个字符中取 20 个，约 130 位 – 高于 AES-128 的 128 位安全级别 | 取决于设置 |
| 密码存在于哪里 | 仅在一次请求期间存在于我们加固的服务器上：在受锁定和保护的内存中生成，发送后清除本服务中的副本；通过 HTTPS 传输 | 在你的浏览器中，与页面加载的每一个脚本并存 |
自己验证：打开开发者工具（F12）的“网络”标签并刷新。此页面只发出一个请求 – 就是它自己。没有脚本文件、没有字体、没有跟踪器。
为什么 Klarpass 是安全的
- 真正的随机。每个字符都来自操作系统的密码学随机数生成器，并以均匀方式抽取（拒绝采样，没有取模偏差）。
- 不保存任何内容。没有账户、没有数据库、没有访问日志、没有 Cookie。每个响应都带有
Cache-Control: no-store。 - 没有第三方代码。严格的内容安全策略只允许这一个页面：没有外部脚本、没有跟踪器、没有 CDN、没有外部字体。唯一的脚本是我们自己的“复制”按钮；没有它页面也能正常使用。
- 加固的服务器。服务以独立用户在沙箱中运行，其内存既无法被转储，也无法被调试器附加；密码在受锁定和保护的内存中生成，请求结束后即被清除。
- 坦诚的局限。密码是在我们的服务器上生成的，因此在一次请求期间会存在于其内存中。它经加密（HTTPS）传输，且不会保存在任何地方。对于保护需求最高的账户，最好直接在你的密码管理器中生成密码。
如何正确使用密码
- 重要账户至少 16 个字符，电子邮件和网上银行建议 20 个或更多。
- 每个账户使用不同的密码 – 密码管理器会替你记住它们。
- 只要有提供，就开启双重验证登录。
- 切勿通过电子邮件或聊天发送密码。
常见问题
- 20 个字符的密码有多强？
- 使用全部四种字符类型时，它约有 130 位熵。即使每秒尝试一万亿次，全部试完所需的时间也远远超过宇宙的年龄。
- 为什么点击之前没有显示密码？
- 这样你可以确信：在你之前没有人见过这个密码。只有在你点击时才会生成 – 没有任何缓存、搜索引擎或其他访客得到过同一个页面。
- Klarpass 会保存我的密码吗？
- 不会。密码为你的请求生成、发送给你，然后从内存中清除。没有任何数据库或日志可以保存它。
- 为什么几乎不用 JavaScript？
- 每个脚本都是攻击面，也是加载第三方代码的途径。这里唯一的脚本是我们自己的“复制”按钮：短短几行，通过哈希锁定在内容安全策略中，且无法访问网络。生成密码完全不需要 JavaScript。
- Klarpass 背后是谁？
- 来自德国基尔希海姆（Kirchheim unter Teck）的 Frederich Engineering。我们开发可以验证的安全软件 – 例如 Klarfeed，一款无跟踪的 RSS 阅读器。