Zaprezentowany fragment kodu w języku C# tworzy hasło. Wskaż zdanie PRAWDZIWE dotyczące charakterystyki tego hasła: var random = new Random();
string pulaZnakow = "abcdefghijklmnopqrstuwxyzABCDEFGHIJKLMNOPQRSTUWXYZ0123456789";
int dlPuli = pulaZnakow.Length - 1;
char znak;
string wynik = "";
for(int i = 0; i < 8; i++) {
znak = pulaZnakow[random.Next(0, dlPuli)];
wynik += znak;
}
Analizując podany fragment kodu, widać, że hasło generowane jest losowo z puli znaków, która zawiera małe i wielkie litery alfabetu łacińskiego oraz cyfry od 0 do 9. Nie znajdują się tam żadne znaki specjalne ani symbole, więc hasło nie może ich zawierać – to ważne z praktycznego punktu widzenia, bo często spotyka się wymagania dotyczące obecności symboli w bezpiecznych hasłach. Kod wykorzystuje pętlę for, która wykonuje się dokładnie 8 razy, czyli hasło ma zawsze 8 znaków – ani mniej, ani więcej. Z mojego doświadczenia wynika, że taki sposób generowania haseł jest dość powszechny w prostych aplikacjach, np. przy automatycznym tworzeniu kont użytkowników. Jednak warto pamiętać, że im bardziej zróżnicowana pula znaków, tym lepsze zabezpieczenie – tutaj ograniczamy się tylko do liter i cyfr. Z praktycznego punktu widzenia, takie losowe hasło trudno odgadnąć ręcznie, ale jest dość przewidywalne, jeśli ktoś zna algorytm i nie ma dodatkowych zabezpieczeń (np. cryptographically secure random number generator). W standardach bezpieczeństwa, np. OWASP, zaleca się uwzględnianie symboli i unikanie prostego Random do generowania haseł, bo można go przewidzieć, ale do nauki i zastosowań testowych taki kod jest całkiem w porządku. Hasło więc może zawierać małe i wielkie litery oraz cyfry – dokładnie jak głosi prawidłowa odpowiedź.
Patrząc na pozostałe odpowiedzi, nietrudno zauważyć typowe pomyłki, które pojawiają się przy analizie kodu generującego hasła. Często spotykam się z błędnym założeniem, że jeśli mamy losowy wybór ze znacznej puli znaków, to automatycznie generowane hasło może zawierać symbole czy inne znaki specjalne. W tym przypadku pulaZnakow wyraźnie ogranicza się tylko do liter – małych i wielkich – oraz cyfr, stąd nie ma możliwości, by pojawił się jakikolwiek symbol, co już obala pierwszą odpowiedź. Następna rzecz – twierdzenie, że hasło ma co najmniej 8 znaków – jest nieścisłe: kod ustawia pętlę for na osiem powtórzeń, więc hasło będzie miało zawsze dokładnie 8 znaków, ani więcej, ani mniej (chyba że ręcznie zmodyfikujemy kod), więc nie jest to 'co najmniej'. Sformułowanie o długości „maksymalnie 7-znakowej” wynika najpewniej z nieuważnego czytania zakresu powtórzeń pętli: for (int i = 0; i < 8; i++) oznacza 8 iteracji, czyli 8 znaków, a nie 7. Często w praktyce ludzie gubią się w liczeniu zakresów, bo zaczynają od zera, ale liczba iteracji jest tu bezpośrednio związana z warunkiem i<wartość>. To są pomyłki, które łatwo popełnić, gdy nie czyta się kodu bardzo uważnie albo nie ćwiczyło się podobnych przypadków na własnych przykładach. Wreszcie, niektóre odpowiedzi próbują dodać jakieś cechy hasła (np. obecność symboli), których w kodzie po prostu nie ma, bo pulaZnakow na to nie pozwala. W branży bezpieczeństwa takie detale są bardzo istotne i weryfikacja puli znaków to pierwszy krok przy analizie generatorów haseł. Zawsze warto szczegółowo patrzeć, co faktycznie znajduje się w zmiennej określającej dostępne znaki, a nie zakładać, że kod jest bardziej zaawansowany, niż jest w rzeczywistości.