Passwort-Generator

So wird das Ergebnis berechnet

1. Das Passwort wird aus der kryptografischen Zufallsquelle Ihres Browsers gezogen (crypto.getRandomValues). Jedes Zeichen wird mit gleicher Wahrscheinlichkeit aus den erlaubten Zeichen gewählt; Ziehungen, die einzelne Zeichen bevorzugen würden, werden verworfen.
2. Jede eingeschaltete Zeichenart kommt mindestens einmal vor: Ein Passwort, dem eine fehlt, wird verworfen und neu gezogen, sodass alle gültigen Passwörter gleich wahrscheinlich bleiben.
3. Die Stärke in Bit ist der Zweierlogarithmus der Anzahl möglicher Passwörter. Die Anzahl wird exakt gezählt, einschließlich der Regel, dass jede Zeichenart vorkommt.
4. Die Zeit bis zum Erraten ist die Hälfte aller Möglichkeiten (der Durchschnitt), geteilt durch die Versuche, die ein Angreifer pro Sekunde schafft.
5. Die Stärkestufen sind unsere eigenen, kein Standard: unter 60 Bit schwach, von 60 bis 100 Bit gut, ab 100 Bit sehr stark.

Annahmen und Grenzen

• Die Stärke gilt nur für ein mit diesem Generator erzeugtes Passwort, nicht für eines, das Sie sich ausgedacht oder von Hand geändert haben.
• Die Geschwindigkeiten sind Benchmarks einer Grafikkarte. Ein Angreifer kann viele Karten einsetzen, und ein Dienst kann einen langsameren Hash verwenden oder die Versuche begrenzen; die tatsächliche Zeit kann daher kürzer oder viel länger sein.
• Der bcrypt-Benchmark nutzt 32 Iterationen (Cost 5). Dienste verwenden oft mehr, was Angreifer weiter bremst.
• Der Generator prüft nicht, ob ein Passwort bereits geleakt wurde, und kennt die Regeln einer bestimmten Website nicht, etwa Sonderzeichen, die sie ablehnt.
• Angriffe auf die Person (Phishing, Schadsoftware) sind in den Zahlen nicht enthalten, und ein starkes Passwort schützt davor nicht.

Die Online-Geschwindigkeit (10 Versuche pro Sekunde) ist unser Beispiel. Die Offline-Geschwindigkeiten sind veröffentlichte Benchmarks: MD5 215,8 GH/s und bcrypt 255,3 kH/s auf einer NVIDIA RTX 5090 (hashcat v6.2.6).

Datenquellen und der Zeitraum, für den sie gelten

Jede Zahl, mit der ein Rechner startet oder aus der er rechnet, stammt aus einer der Quellen unten. Die Namen der Reihen stehen so, wie der Herausgeber sie nennt. Jede Zeile zeigt den Zeitraum, auf den sich die Daten beziehen, und, wo wir ihn festhalten, den Tag des Downloads. Amtliche Daten sind bei der Veröffentlichung oft schon Monate alt. Prüfen Sie deshalb vor einer Entscheidung den aktuellen Wert.

Amtlich

Veröffentlicht von einer Zentralbank, einem statistischen Amt, der Europäischen Union oder einer anderen öffentlichen Stelle.

Wissenschaftliche oder Branchendaten

Ein Datensatz einer Universität, eines Indexanbieters, eines Branchenverbands oder eines Datenanbieters.

Aus der Presse

Eine Zahl einer amtlichen Stelle, die wir nur aus der Presse kennen und nicht in der Originalquelle geprüft haben. Nehmen Sie sie als ungefähren Wert.

Beispiel

Eine runde Zahl von uns, keine Statistik. Ersetzen Sie sie durch Ihre eigene.