Passphrase-Generator

So wird das Ergebnis berechnet

1. Die Wörter werden aus der kryptografischen Zufallsquelle Ihres Browsers gezogen (crypto.getRandomValues). Jedes Wort wird mit gleicher Wahrscheinlichkeit aus der ganzen Liste gewählt; eine Ziehung, die manche Wörter bevorzugen würde, wird verworfen.
2. Die Wörter werden unabhängig gezogen, ein Wort kann also zweimal vorkommen. So sind alle Passphrasen gleich wahrscheinlich, und ihre Anzahl ist genau die Listengröße hoch der Wortzahl.
3. Die Stärke in Bit ist der Zweierlogarithmus dieser Anzahl, jedes Wort bringt also gleich viele Bit: log2 der Listengröße (11 Bit bei 2 048 Wörtern, etwa 12,9 bei 7 776). Eine gezogene Ziffer bringt etwa 3,3 Bit. Trennzeichen und Großbuchstaben bringen nichts, weil sie jedes Mal gleich sind.
4. Die Dauer des Ratens ist die Hälfte aller Möglichkeiten (der Durchschnitt) geteilt durch die Versuche pro Sekunde, die ein Angreifer schafft, wie beim Passwort-Generator.
5. Die Stufen sind unsere eigenen, kein Standard: unter 60 Bit schwach, 60 bis 100 Bit gut, ab 100 Bit sehr stark.

Annahmen und Grenzen

• Die Stärke gilt nur für eine Passphrase, die dieser Generator erzeugt hat, nicht für eine selbst gewählte oder von Hand geänderte, und sie nimmt einen Angreifer an, der die Liste und Ihre Einstellungen kennt.
• Wir verwenden nur Wortlisten mit veröffentlichter Quelle und freier Lizenz: Englisch (EFF) sowie Tschechisch, Spanisch und Französisch (BIP-39). Weitere Sprachen folgen, sobald es eine Liste gibt, die wir prüfen können.
• Die Geschwindigkeiten sind Tests einer einzelnen Grafikkarte. Ein Angreifer kann viele einsetzen, und ein Dienst kann einen langsameren Hash nutzen oder Versuche begrenzen; die tatsächliche Zeit kann daher viel kürzer oder viel länger sein.
• Der Generator weiß nicht, ob eine Passphrase geleakt wurde, und kennt die Regeln einer bestimmten Website nicht, etwa eine Höchstlänge.
• Angriffe auf Menschen (Phishing, Schadsoftware) stecken nicht in den Zahlen, und eine starke Passphrase schützt davor nicht.

Die Online-Geschwindigkeit (10 Versuche pro Sekunde) ist unser Beispiel. Die Offline-Geschwindigkeiten sind veröffentlichte Tests: MD5 215,8 GH/s und bcrypt 255,3 kH/s auf einer NVIDIA RTX 5090 (hashcat v6.2.6). Die Wortlisten sind die EFF Large Wordlist (Englisch) und die BIP-39-Listen (Tschechisch, Spanisch, Französisch).

Datenquellen und der Zeitraum, für den sie gelten

Jede Zahl, mit der ein Rechner startet oder aus der er rechnet, stammt aus einer der Quellen unten. Die Namen der Reihen stehen so, wie der Herausgeber sie nennt. Jede Zeile zeigt den Zeitraum, auf den sich die Daten beziehen, und, wo wir ihn festhalten, den Tag des Downloads. Amtliche Daten sind bei der Veröffentlichung oft schon Monate alt. Prüfen Sie deshalb vor einer Entscheidung den aktuellen Wert.

Amtlich

Veröffentlicht von einer Zentralbank, einem statistischen Amt, der Europäischen Union oder einer anderen öffentlichen Stelle.

Wissenschaftliche oder Branchendaten

Ein Datensatz einer Universität, eines Indexanbieters, eines Branchenverbands oder eines Datenanbieters.

Aus der Presse

Eine Zahl einer amtlichen Stelle, die wir nur aus der Presse kennen und nicht in der Originalquelle geprüft haben. Nehmen Sie sie als ungefähren Wert.

Beispiel

Eine runde Zahl von uns, keine Statistik. Ersetzen Sie sie durch Ihre eigene.