Text- und Alltagstools · Passwortgenerator
Entropiebits vs. Kraftmesser: Was die Zahl wirklich misst
· Hintergrund
Passwörter Entropie Kraftmesser
Erklärt, was ein bisschen Entropie ist, warum sie für generierte Passwörter genau berechnet, für von Menschen gewählte jedoch nur geschätzt werden kann und warum Stärkemesser und Entropiezahlen oft nicht übereinstimmen.
Der grüne Balken, der gelogen hat – ein Kraftmessgerät liebt „P@ssw0rd2024“ und zuckt mit den Schultern, wenn es um eine Passphrase mit sechs Wörtern geht
ToolAcre zeigt keinen farbigen Rot-zu-Grün-Balken an und akzeptiert kein Passwort für die Bewertung. Es schätzt den in seinem eigenen Generator konfigurierten Zufallsprozess und gibt neben dem Ergebnis Annahmen an. Die Behauptung des Arbeitsbuchs, dass ein typischer Zähler ein Beispiel liebt und ein anderes ablehnt, erfordert Beweise aus einer benannten Implementierung, die nicht Teil dieses Repositorys ist.
Die Korrektur dieser Überschrift ist wichtig, da eine transparente Berechnung und ein heuristischer Score unterschiedliche Fragen beantworten. ToolAcre kennt seinen Pool, die Anzahl der Ziehungen, die Fallregel und die Trennzeichenregel. Es weiß nicht, wie eine anderswo ausgewählte Saite hergestellt wurde, und weigert sich daher, zu unterstellen, dass allein das Aussehen Stärke verrät.
Ein grüner Stärkebalken befindet sich außerhalb dieses Tools; ToolAcre meldet eine angegebene Generatorschätzung
Ein Bit bedeutet eine Verdoppelung der Anzahl gleich möglicher Ergebnisse. Wenn eine Ziehung N einheitliche Optionen hat, beträgt ihr Beitrag log₂(N). Unabhängige Entscheidungen hinzufügen. Diese Arithmetik ist für das angegebene Modell genau, das Repository stellt jedoch keinen universellen Bit-Schwellenwert bereit, der ein Kennwort für jedes Konto geeignet macht.
Die Bedrohungsmodelle unterscheiden sich und generierte Werte bleiben anfällig für Kompromittierungspfade, die den Speicherplatz nicht auflisten. Eine Zählung kann Einstellungen vergleichen, ohne jedoch definitive Aussagen über Phishing, Malware, Wiederverwendung, Wiederherstellung oder ein Ziel zu machen, das Anmeldeinformationen schlecht speichert.
Eine Bitberechnung folgt verifizierten Auswahlzählungen, ohne einen universellen Sicherheitsschwellenwert
Die gleiche sichtbare Wortfolge kann durch sichere Zufallsindizes oder durch die Auswahl eines Zitats durch eine Person entstehen. Die Zeichenfolgen stimmen überein, während die Prozesse unterschiedlich sind. ToolAcre schätzt die erste, da jede Zufallsoperation bekannt ist; Letzteres wird nicht geschätzt, da menschliche Präferenzen und die Reihenfolge der Angreifer nicht modelliert werden.
Diese prozessorientierte Sichtweise erklärt auch, warum die deterministische Formatierung keine Entropie hinzufügt. Feste Groß- und Kleinschreibung und Trennzeichen transformieren die ausgewählten Wörter vorhersehbar. Zufällige Groß- und Kleinschreibung und zufällige Trennzeichen fügen explizite Auswahlmöglichkeiten hinzu, da die Engine für sie neue Ziehungen durchführt.
Die Schätzung beschreibt den Generierungsprozess und die Einstellungen, nicht nur die sichtbare Zeichenfolge
Für generierte Werte kann das Paket aus der tatsächlich gefilterten Wortliste und den konfigurierten Ziehungen berechnen. Der Zeichenmodus verwendet die ausgewählte Alphabetgröße und die angeforderte Länge. Diese Eingaben sind sichtbar und testbar, sodass sich die Schätzung ändern kann, wenn ein Benutzer den Pool einschränkt oder eine Klasse deaktiviert.
Von Menschen geschaffene Werte benötigen ein Modell wahrscheinlicher Entscheidungen, nicht nur ein auf eine Zeichenfolgenlänge vergrößertes Alphabet. ToolAcre enthält dieses Modell nicht und fordert Benutzer nicht dazu auf, vorhandene Anmeldeinformationen einzufügen, wodurch auch vermieden wird, dass ein Geheimnis für eine zweifelhafte Punktzahl preisgegeben wird.
Wie Kraftmessgeräte funktionieren – Regelzählung, Wörterbuchprüfungen und Mustervergleich und wo jedes einzelne in die Irre führt
Einige externe Messgeräte verwenden Wörterbücher, Mustervergleich oder Kompositionsheuristiken, ihre Regeln und Versionen sind hier jedoch kein Quellmaterial. Dieser Artikel stellt daher keinen Fake-Wettbewerb gegen einen „typischen“ Zähler dar. Für einen gültigen Vergleich wären eine benannte Implementierung, Eingaben und aktueller Code erforderlich.
Die Abwesenheit ist absichtlich. Das heuristische Verhalten kann sich unabhängig von ToolAcre ändern, während die Generatorschätzung an vom Repository gesteuerte Vorgänge gebunden bleibt. Leser sollten ein anderes Messgerät anhand seiner eigenen Dokumentation interpretieren, anstatt davon auszugehen, dass jeder grüne Balken dasselbe bedeutet.
Das Verhalten von Kraftmessgeräten Dritter liegt außerhalb der Repository-Beweise
Beginnen Sie mit sechs Wörtern aus einem geeigneten Pool von N unter festen Kleinbuchstaben und Leerzeichen: Der Wortbeitrag ist 6 × log₂(N). Wechseln Sie zur Zufallsschreibweise und fügen Sie sechs binäre Auswahlmöglichkeiten hinzu. Wechseln Sie zurück zur festen Schreibweise und fügen Sie ein siebtes Wort hinzu. das Inkrement beträgt log₂(N). Jeder Unterschied folgt einer sichtbaren Einstellung.
Verwenden Sie für den Zeichenmodus genau das von der Quelle angegebene ausgewählte Alphabet und multiplizieren Sie log₂ seiner Größe mit der Länge, wie es in der Schätzung des Pakets der Fall ist. Diese Berechnungen vergleichen unterstützte Prozesse. Sie geben kein Referenzbeispiel, keine Crack-Time-Prognose oder keine allgemeine Empfehlung ab.
Arbeitsbeispiel: Berechnen Sie drei unterstützte Einstellungsänderungen, ohne einen Zähler zu simulieren
Shannon-Entropie von Korpora in natürlicher Sprache und Metriken für Forschungsschätzungen liegen außerhalb der Generatorimplementierung. Dies gilt auch für empirisch trainierte Passwortmodelle. Würde man sie mit einer Uniform-Choice-Berechnung vermischen, würde ein bekanntes Wort „Entropie“ mehrere inkompatible Definitionen abdecken.
Die Seite mit den Produktbeschränkungen geht bereits den sichereren Weg: Die Zahl beschreibt Einstellungen unter angegebenen Annahmen und Zeitschätzungen sind Vergleiche und keine Vorhersagen. Behalten Sie diese Qualifikationsmerkmale bei, wenn die Nummer zitiert wird.
Das Fazit: Eine generierte Passphrase hat eine bekannte Entropie, weshalb der Passwortgenerator ehrlich sein kann, was die Stärke angeht
Eine generierte Passphrase verfügt über ein berechenbares Modell, da ToolAcre die zufälligen Entscheidungen kontrolliert und offenlegt. Diese Transparenz ist die nützliche Eigenschaft. Die daraus resultierende Bitfigur stellt keine intrinsische Farbe für die Charaktere dar und garantiert nicht die Sicherheit für jeden Angreifer oder jedes System.
Verwenden Sie die Schätzung, um Konfigurationsänderungen zu prüfen, und halten Sie dann den tatsächlichen Wert privat und eindeutig. Verwenden Sie ToolAcre nicht als Manager und fügen Sie keine vorhandenen Anmeldeinformationen zur Bewertung ein. Ein klares Modell ist nur dann besser als ein sicheres Messgerät, wenn seine Grenze sichtbar bleibt.