So wählen Sie eine Passphrase aus

Das Einzige, was eine Passphrase stark macht, ist, dass Sie sie nicht ausgewählt haben

Das ist die ganze Idee, und es lohnt sich, sie unverblümt zum Ausdruck zu bringen, denn fast jeder Passwort-Ratschlag verschleiert sie. Die Stärke einer Passphrase hängt von der Anzahl gleich wahrscheinlicher Passphrasen ab, die der Prozess hätte erzeugen können. Wenn eine Maschine sechs Wörter gleichmäßig aus einer Liste von 7,776 auswählt, ist diese Zahl 7,776 hoch sechst. Wenn eine Person sechs Wörter auswählt, die sich zufällig anfühlen, ist die Zahl sehr viel kleiner, weil Menschen keine einheitlichen Sampler sind und es auch nie waren.

Wenn Sie jemanden nach einem beliebigen Tier fragen, werden Sie weitaus häufiger Hund, Katze oder Löwe hören als Erdferkel. Wenn Sie nach einer zufälligen vierstelligen Zahl fragen, sind 1234 und Jahreszahlen, die mit 19 beginnen, deutlich überrepräsentiert. Cracking-Software basiert auf genau diesen Gesetzmäßigkeiten: Sie rät nicht in alphabetischer Reihenfolge, sondern in der Reihenfolge der Wahrscheinlichkeit, und menschliche Entscheidungen stehen an erster Stelle dieser Warteschlange.

Der Wert dieser Seite liegt also nicht in den Worten. Es liegt daran, dass weder Sie noch irgendjemand sonst Einfluss darauf hatte, welche davon auftauchten.

Warum sechs Wörter die Standardeinstellung sind

Sechs Wörter aus der EFF-Langliste sind die eigene Empfehlung der Electronic Frontier Foundation für diese Liste, und dieses Tool verwendet sie standardmäßig. Jedes Wort trägt etwa 12.9 Bits bei, sodass sechs davon ungefähr 77 Bits ergeben – genug, dass ein Offline-Angreifer, der eine Billion Vermutungen pro Sekunde ausführt, immer noch extrem lange suchen würde, während die Phrase selbst kurz genug bleibt, um sie zu proben.

Fünf Worte, über 64 bits, das ist der Punkt, an dem ein gut ausgestatteter Offline-Angriff nicht mehr theoretisch ist. Es ist eine vernünftige Wahl für ein Konto, das Ihnen nicht besonders am Herzen liegt, und eine schlechte Wahl für alles, was andere Dinge schützt.

Sieben oder acht Worte sind es wert für die zwei oder drei Passphrasen, die alles andere schützen: diejenige, die Ihren Passwort-Manager, Ihre Geräteanmeldung, Ihr E-Mail-Konto entsperrt. Das sind die Passphrasen, die Sie oft genug eingeben, um sie zu lernen, und die, deren Kompromittierung am meisten kostet.

Über acht Wörter hinauszugehen hat einen stark abnehmenden Wert. Zu diesem Zeitpunkt ist die Passphrase für jeden erratenen Angriff bereits weit außer Reichweite, und den realistischen Bedrohungen – einer Phishing-Seite, Malware auf dem Computer, einer schlecht betriebenen Website, die sie im Klartext speichert – ist es egal, wie lange sie dauert.

Welche Wortliste verwendet werden soll

Die lange Liste enthält 7,776 Wörter – sechs Würfelwürfe mit fünf Würfeln – und ist die Standardeinstellung, da jedes Wort die größte Stärke hat: etwa 12.9 Bits. Seine Wörter sind länger und einige sind unklar, das ist der Handel, den Sie machen.

Die kurze Liste enthält 1,296 Wörter mit jeweils etwa 10.3 Bits. Die Wörter sind häufiger und schneller einzugeben, was wichtig ist, wenn Sie die Passphrase auf einer Spielekonsole oder einer Fernsehfernbedienung eingeben. Da jedes Wort weniger wert ist, benötigen Sie ungefähr sieben oder acht Wörter, um sechs Wörter aus der langen Liste zu finden.

Die dritte Liste hat die gleiche Größe wie die kurze Liste, ist jedoch so gewählt, dass kein Wort ein Präfix eines anderen ist und die ersten drei Buchstaben das Wort eindeutig identifizieren. Das ist auf einem Gerät mit automatischer Vervollständigung oder mit einer umständlichen Tastatur ein echter Komfort und kostet im Vergleich zur gewöhnlichen Auswahlliste nichts an Leistung.

Eine größere Liste ist nicht automatisch besser. Was zählt, ist die Anzahl der Wörter multipliziert mit der Stärke jedes einzelnen, und eine kurze Liste mit ein oder zwei zusätzlichen Wörtern kommt an die gleiche Stelle.

Was sich durch die erweiterten Optionen tatsächlich ändert

Die minimale und maximale Wortlänge filtert die Liste, bevor ein Wort gezeichnet wird. Dies ist ein echter Tausch: Durch die Einschränkung des Bereichs auf fünf bis neun Buchstaben ist das Ergebnis einfacher zu lesen und zu tippen, aber es schrumpft auch die Menge, aus der jedes Wort stammt, sodass jedes Wort etwas weniger Stärke hat. Der Entropiewert auf der Seite wird aus dem gefilterten Pool berechnet, nicht aus der vollständigen Liste, sodass er bereits Ihre Auswahl widerspiegelt.

Das Trennzeichen ändert die Art und Weise, wie die Wörter verbunden werden. Ein Leerzeichen liest sich am besten und lässt sich für die meisten Menschen am einfachsten wiederholen. Einige Anmeldeformulare streichen jedoch Leerzeichen oder lehnen sie ab, weshalb Bindestriche und Unterstriche angeboten werden. Wenn Sie die Option „Zufällig“ wählen, wird für jede Lücke aus fünf Zeichen ein neues Trennzeichen ausgewählt, was eine kleine Menge an tatsächlicher Stärke hinzufügt – etwa 2.3 bits pro Lücke – und in der gezeigten Zahl gezählt wird.

Die Optionen für die Groß-/Kleinschreibung bestehen, da viele Websites immer noch einen Großbuchstaben verlangen. Kleinschreibung, Großschreibung, Großschreibung des Anfangsbuchstabens und Abwechseln sind alles feste Regeln: Ein Angreifer, der die Regel kennt, hat nichts davon, also erhöht keine davon die Stärke. Die Zufallsoption ist anders – jedes Wort ist unabhängig groß- oder kleingeschrieben, wodurch genau ein Bit pro Wort hinzugefügt und gezählt wird.

Ein Akrostichon legt fest, dass jedes Wort mit einem von Ihnen gewählten Buchstaben beginnt, sodass die Initialen etwas bedeuten. Es ist eine Gedächtnishilfe und kostet Kraft: Anstatt aus dem gesamten Pool zu schöpfen, wird jedes Wort aus der viel kleineren Menge entnommen, die mit diesem Buchstaben beginnt. Die Seite berechnet die Entropie für die von Ihnen eingegebenen Buchstaben neu und zeigt Ihnen deutlich an, ob kein Wort in der aktuellen Liste und im aktuellen Längenbereich mit einem dieser Buchstaben beginnt.

Passphrase oder zufälliges Passwort?

Verwenden Sie eine Passphrase, die sich ein Mensch merken und eingeben muss: das eigene Master-Passwort des Passwort-Managers, eine Geräteanmeldung, einen Festplattenverschlüsselungsschlüssel, ein Konto, auf das Sie von einem Computer aus zugreifen müssen, auf dem sich kein Passwort-Manager befindet.

Verwenden Sie überall ein zufälliges Passwort – was, wenn Sie einen Manager richtig einsetzen, fast überall der Fall ist. Da Sie diese nie eingeben, ist die Einprägsamkeit nichts wert, und zwanzig zufällige Zeichen bieten mehr Kraft in weniger Tastenanschlägen als die entsprechende Passphrase.

Ein zufälliges Passwort mit zwanzig Zeichen, das aus einem gemischten Alphabet mit etwa achtzig Symbolen gezogen wird, ist ungefähr 126 bits wert, was deutlich mehr als acht Wörter aus der langen Liste ist. Diese Seite generiert diese ebenfalls im Abschnitt „Zufallspasswort“ unter „Erweiterte Optionen“.

Aus gutem Grund sind beide am gleichen Punkt: Die richtige Antwort hängt davon ab, ob eine Person oder ein Programm die Eingabe übernimmt, und diese Frage lohnt es sich, sie jedes Mal zu stellen, anstatt sie nur einmal festzulegen.

Das Ergebnis gut nutzen

Eine weitere Gewohnheit, die es wert ist, sich anzueignen: Ändern Sie eine Passphrase, wenn es einen Grund dafür gibt – eine Sicherheitsverletzungsmeldung, ein gemeinsam genutztes Gerät, ein Verdacht – und nicht in einem Kalender. Die erzwungene periodische Rotation führt zuverlässig zu schwächeren Passwörtern, da die Leute damit umgehen, indem sie am Ende eine Zahl erhöhen.

1. Kopieren Sie es mit der Schaltfläche „Kopieren“, anstatt den Text auszuwählen, sodass an beiden Enden nichts verloren geht oder abgeschnitten wird.
2. Fügen Sie es direkt in Ihren Passwort-Manager ein, bevor Sie es woanders einfügen. Eine Passphrase, die nie den Manager erreicht, wird am Ende zurückgesetzt.
3. Verwenden Sie es für ein Konto und nichts anderes. Durch die Wiederverwendung wird der Verstoß einer Website zu einem Problem für alle Ihre Konten, und noch so viel Entropie hilft dabei nicht.
4. Fügen Sie keine einprägsamen Änderungen hinzu – Ihr Geburtsjahr, den Namen der Website, ein Ausrufezeichen –, damit es persönlicher wirkt. Diese Ergänzungen sind genau das, was Ratesoftware zuerst erweitert, und sie machen die Zufälligkeit rückgängig, wegen der Sie hierher gekommen sind.
5. Wenn eine Site die Passphrase ablehnt, weil sie zu lang ist oder Leerzeichen enthält, kürzen Sie sie um ein Wort oder ändern Sie das Trennzeichen, anstatt manuell einen Ersatz zu erfinden.

Was passiert mit dem, was Sie generieren?

ToolAcre generiert Passwörter lokal in Ihrem Browser. Stellen Sie in hochsensiblen Umgebungen sicher, dass Ihr Browser, Ihr Gerät und Ihr Betriebssystem vertrauenswürdig sind, bevor Sie einen webbasierten Passwortgenerator verwenden.

• Jede Passphrase und jedes Passwort wird in Ihrem Browser-Tab vom eigenen kryptografischen Zufallszahlengenerator Ihres Browsers generiert. Sobald die Seite geladen ist, ist kein Server beteiligt.
• Nichts, was hier generiert wird, wird an ToolAcre gesendet. Die Content-Security-Policy dieses Produkts beschränkt die Seite auf ihren eigenen Ursprung, sodass der Browser selbst jeden Versuch blockiert, Daten an eine andere Stelle zu senden.
• Es wird nichts in den lokalen Speicher, den Sitzungsspeicher, ein Cookie, eine browserinterne Datenbank, die Adressleiste oder die Browserkonsole geschrieben. Beim Neuladen wird es verworfen; Wenn Sie die Registerkarte schließen, wird sie verworfen.
• Es gibt kein Konto, keine Anmeldung, kein Analyseskript und kein Werbeskript. Die einzigen heruntergeladenen Dateien sind die statischen Wortlisten.
• Es wird keine Historie gespeichert. Durch eine erneute Generierung wird der Wert ersetzt und der vorherige kann nicht wiederhergestellt werden.

Fragen

Einschränkungen

• Wortlisten sind Englisch. Eine aus englischen Wörtern bestehende Passphrase ist für jemanden, der kein Englisch spricht, nicht schwächer, aber sie ist schwerer zu merken, und das ist der Hauptgrund.
• Die Entropiezahl beschreibt die Einstellungen, nicht die jeweilige Passphrase, die Sie vor sich haben. Jedes einzelne Ergebnis könnte zufällig aussagekräftig aussehen.
• Diese Seite kann Ihnen nicht sagen, ob die Website, die Sie verwenden möchten, Passwörter ordnungsgemäß speichert. Eine vollkommen sichere Passphrase in einer Nur-Text-Datenbank ist immer noch offengelegt, wenn diese Datenbank ein Leck hat.
• Einige Anmeldeformulare kürzen stillschweigend lange Eingaben oder entfernen Leerzeichen. Wenn eine Passphrase nach einer Passwortänderung nicht mehr funktioniert, ist das die übliche Ursache.
• Ein Akrostichon reduziert immer die Kraft. Es wird angeboten, weil eine einprägsame Passphrase, die Sie tatsächlich verwenden, eine stärkere Passphrase übertrifft, die Sie jeden Monat zurücksetzen, aber der Handel ist real und die Seite zeigt es.