Generator kodów jednorazowych

Generator kodów jednorazowych

Kody jednorazowe służą do uwierzytelniania dwuskładnikowego (2FA), potwierdzania operacji i odzyskiwania dostępu. Powinny być losowe i krótkotrwałe. Ten generator kodów jednorazowych tworzy od 1 do 500 kodów naraz, o długości od 3 do 64 znaków, z cyfr, liter, liter i cyfr albo znaków HEX. Od razu pokazuje liczbę kombinacji, entropię i szansę odgadnięcia przy limicie prób, który podasz. Gotową listę skopiujesz albo pobierzesz jako plik CSV.

Zastosowania i gotowe ustawienia

Każdy typ kodu ma w narzędziu przycisk z gotowymi ustawieniami. Po kliknięciu możesz dalej zmieniać długość, znaki i grupowanie.

Entropia

Entropia mierzy nieprzewidywalność kodu i jest wyrażana w bitach. Kod 6-cyfrowy ma około 20 bitów entropii, a 16-znakowy alfanumeryczny – ponad 90 bitów. Do 2FA wystarczy 20–30 bitów, pod warunkiem że kod szybko wygasa, a system blokuje go po kilku błędnych próbach.

Dlatego narzędzie pyta o limit prób w Twoim systemie. Szansa odgadnięcia to k / N^L, gdzie k to liczba dozwolonych prób. Przy 6 cyfrach i 5 próbach wynosi 1 na 200 000, przy 4-cyfrowym PIN-ie i tych samych 5 próbach już 1 na 2000.

Zasady bezpieczeństwa

• Kodu jednorazowego używaj tylko raz i krótko.
• Kody zapasowe przechowuj offline, a w bazie danych zapisuj je jako skrót (hash), tak jak hasła.
• Nie wysyłaj kodów tym samym kanałem co logowanie.
• Do długotrwałych haseł użyj generatora haseł z wysoką entropią.

Jak działa generator kodów jednorazowych

Generator losuje kod znak po znaku. Dla każdej pozycji wybierany jest niezależnie indeks z zakresu od 0 do N-1, gdzie N to liczba znaków w wybranym zestawie, a następnie znak stojący pod tym indeksem trafia do wyniku. Zestawy wbudowane w narzędzie mają dokładnie: 10 znaków dla cyfr (0123456789), 26 dla wielkich liter, 26 dla małych liter, 16 dla zapisu HEX (0123456789ABCDEF) i 62 dla liter i cyfr. Opcja „Bez mylących znaków” usuwa 0, 1, O, o, I oraz l, ale tylko z zestawów z literami: wielkie i małe litery mają wtedy po 24 znaki, a litery z cyframi 56. Cyfr i HEX ta opcja nie zmienia.

Gdy pole seed jest puste, każdy znak losuje kryptograficzny generator random_int() z PHP. Po wpisaniu seeda narzędzie używa mt_rand: ten sam seed zawsze daje te same kody, co przydaje się w testach, ale takie kody da się odtworzyć, więc nie nadają się do zabezpieczeń.

Kolejne losowania są niezależne i odbywają się ze zwracaniem, dlatego ten sam znak może wystąpić w kodzie wielokrotnie, a kolejność znaków ma znaczenie. Entropię takiego kodu liczymy ze wzoru H = L × log2(N), gdzie L to długość kodu, a N to liczba znaków w zestawie. Stały prefiks (np. LATO-) i myślniki z grupowania nie zwiększają entropii.

Drugi sposób patrzenia na to samo to liczba możliwych kombinacji równa N^L. Każde dodatkowe miejsce w kodzie mnoży liczbę kombinacji przez N: przy literach i cyfrach 62-krotnie, przy cyfrach dziesięciokrotnie. Opcja „Bez powtórzeń w partii” (domyślnie włączona) odrzuca kody, które już wypadły w tej samej partii. Jeśli zażądasz więcej kodów, niż istnieje kombinacji, narzędzie zgłosi błąd zamiast generować duplikaty.

Przykład krok po kroku: kod 6-cyfrowy i 8 liter i cyfr

1. Ustawiamy długość 6 i znaki „Cyfry (0–9)”, czyli 10 znaków o indeksach od 0 do 9.
2. Losowanie pierwszej pozycji daje indeks 4, któremu odpowiada znak 4.
3. Kolejne niezależne losowania dają indeksy 0, 7, 9, 2 i 5, czyli znaki 0, 7, 9, 2 oraz 5.
4. Sklejamy znaki w kolejności losowania i otrzymujemy kod 407925. Przy myślniku co 3 znaki narzędzie wyświetli go jako 407-925.
5. Liczymy entropię: 6 × log2(10) ≈ 6 × 3,3219 ≈ 19,9 bita, a liczba możliwych kodów to 10^6 = 1 000 000. Przy limicie 5 prób szansa odgadnięcia wynosi 5 / 1 000 000, czyli 1 na 200 000.
6. Dla porównania 8 pozycji z liter i cyfr (62 znaki) daje 8 × log2(62) ≈ 8 × 5,9542 ≈ 47,6 bita – ponad dwa razy więcej przy zaledwie dwóch dodatkowych znakach.

Entropia i liczba kombinacji według zestawu i długości

Praktyczne wskazówki użycia

• Dobierz długość do kanału przekazu. Kod wpisywany ręcznie z SMS-a nie powinien być długi – 6 cyfr to około 19,9 bita i przy krótkim czasie ważności wystarcza. Kod wklejany z linku może być dłuższy.
• Kody zapasowe generuj partią. Przycisk „Kody zapasowe” ustawia 16 liter i cyfr z myślnikiem co 4 znaki; wygeneruj od razu 8–10 sztuk i zapisz je, zanim zapomnisz o procedurze odzyskiwania dostępu.
• Przy kodach przepisywanych z kartki lub ekranu włącz „Bez mylących znaków” i myślnik co 4 znaki. Klient nie pomyli wtedy O z 0 ani l z 1, a krótkie grupy łatwiej przepisać bez błędu.
• Plik CSV otwarty w Excelu może stracić zera z początku kodu (007123 zmieni się w 7123). Importuj kolumnę „kod” jako tekst.
• Sprawdź, jak Twój system reaguje na błędne próby, i wpisz ten limit w polu „Limit prób”.

Ograniczenia narzędzia

• Brak zgodności z TOTP. Narzędzie nie wyprowadza kodu z sekretu i znacznika czasu, więc nie zsynchronizuje się z aplikacjami uwierzytelniającymi ani nie odtworzy kodu po upływie okna czasowego.
• Seed oznacza przewidywalność. Kody z wpisanym seedem są powtarzalne i służą do testów oraz danych przykładowych. Do prawdziwych zabezpieczeń zostaw to pole puste.
• Ważność i limit prób to tylko parametry oceny. Generator nie unieważnia kodów po czasie ani nie blokuje prób – to zadanie Twojego systemu. Podana entropia opisuje pojedynczy kod; jeśli system pozwala na wiele prób pod rząd, realna ochrona jest niższa, niż wynikałoby to z liczby kombinacji.
• Unikalność obowiązuje w jednej partii. Dwie osobno wygenerowane listy mogą zawierać ten sam kod, więc przy kodach rabatowych porównaj nową partię z wydanymi wcześniej.
• Przechowywanie wyniku zależy od Ciebie. Narzędzie nie zapisuje wygenerowanych kodów w historii ani w bazie. Najczęściej wyciekają one ze schowka, notatnika albo wiadomości wysłanej do siebie.