Passwort-Generator

Die Stärke eines zufälligen Passworts ist eine Funktion davon, wie viele mögliche Passwörter angesichts seiner Länge und seines Zeichensatzes existieren, und diese Zahl wächst exponentiell mit der Länge, aber nur linear mit der Zeichensatzgröße — eine weitere Zeichenposition hinzuzufügen multipliziert den gesamten Möglichkeitsraum, während ein weiterer erlaubter Symboltyp ihn kaum verschiebt. Ein 20-Zeichen-Passwort nur mit Kleinbuchstaben zieht aus 26 Möglichkeiten pro Position über 20 Positionen, was zu weit mehr Gesamtkombinationen führt als ein 8-Zeichen-Passwort aus einem viel reicheren Satz von 94 möglichen Zeichen (Groß-, Kleinbuchstaben, Ziffern und Symbole kombiniert), aber mit nur 8 Positionen, sie zu platzieren. Das ist der mathematische Grund, warum Länge der dominante Faktor bei der Passwortstärke ist, und warum der langjährige Rat, Symbole und gemischte Groß-/Kleinschreibung hinzuzufügen, deutlich weniger zählt als einfach das Passwort länger zu machen.

Nicht alle Zufallszahlengeneratoren sind gleich unvorhersehbar. `Math.random()`, die in JavaScript eingebaute Zufallsfunktion für allgemeine Zwecke, ist für Geschwindigkeit und statistische Verteilung bei Dingen wie Animationen oder dem Mischen eines Spielbretts konzipiert — nicht dafür, einem Angreifer zu widerstehen, der speziell versucht, ihre Ausgabe vorherzusagen, und in manchen Implementierungen kann ihr interner Zustand teilweise aus einer Handvoll beobachteter Ausgaben rekonstruiert werden. `crypto.getRandomValues()`, die API, die dieses Tool stattdessen nutzt, schöpft aus der kryptografischen Zufallszahlenquelle des Betriebssystems — derselben zugrunde liegenden Quelle, die zur Generierung von Verschlüsselungsschlüsseln genutzt wird — die speziell gebaut und geprüft ist, um genau dieser Art von Vorhersageangriff zu widerstehen. Etwas anderes als einen CSPRNG (kryptografisch sicheren Pseudozufallszahlengenerator) zur Passwortgenerierung zu nutzen ist eine echte, ausnutzbare Schwäche, keine theoretische — mehrere veröffentlichte Passwort-Generator-Bugs kamen genau aus diesem Ersatz.

Entropie, gemessen in Bit, beschreibt, wie viele Versuche ein Angreifer bräuchte, um erschöpfend jede Möglichkeit zu probieren, bevor die richtige gefunden wird — jedes zusätzliche Bit verdoppelt diese Zahl, daher ist die Beziehung exponentiell statt linear, und ein Sprung von 60 auf 70 Bit stellt eine tausendfache Steigerung des Aufwands des Angreifers dar, keine bescheidene Verbesserung um zehn Einheiten. Unter etwa 50 Bit werden anhaltende Brute-Force-Angriffe mit moderner Hardware in einem praktischen Zeitrahmen wirklich machbar. Der Bereich von 70–80 Bit gilt als komfortabel für ein gewöhnliches Passwort, das ein typisches Online-Konto schützt. Über 100 Bit liegt komfortabel jenseits dessen, was jeder derzeit vorstellbare Rechenaufwand erschöpfen könnte, weshalb sich sowohl die Anleitung dieses Tools als auch seine Stärkeanzeige um diese spezifischen Schwellen verankern statt um eine vage Empfehlung, es „stärker zu machen".