Passwort-Generator

Jedes Zeichen wird mit crypto.getRandomValues() des Browsers ausgewählt, derselben kryptografisch sicheren Zufallsquelle, die etwa für Verschlüsselungsschlüssel verwendet wird, nicht mit dem viel schwächeren Math.random(), das in manchen Engines vorhersehbar genug ist, um aus früheren Ausgaben rekonstruiert zu werden. Die Zeichenauswahl verwendet außerdem Rejection Sampling statt eines einfachen Modulo, sodass jedes erlaubte Zeichen genau die gleiche Wahrscheinlichkeit hat, ohne Verzerrung zugunsten des Anfangs des Zeichensatzes.

Die Entropie in Bit ist der log2 der Zeichensatzgröße multipliziert mit der Passwortlänge; sie misst, wie viele Versuche ein Angreifer, der Ihre Einstellungen (aber nicht das Passwort selbst) kennt, im Durchschnitt benötigen würde, um es per Brute-Force zu finden. Jedes zusätzliche Bit verdoppelt diese Anzahl an Versuchen, daher ist der Sprung von 40 auf 60 Bit keine Verbesserung um 50 Prozent, sondern etwa eine Million Mal schwieriger.

Diese Zeichen sehen in vielen Schriftarten nahezu identisch aus, was wichtig ist, wenn Sie das Passwort jemals vorlesen, von einer gedruckten Kopie abschreiben oder auf einem Gerät ohne verlässliche Schriftart eingeben müssen. Sie auszuschließen verkleinert den Zeichensatz leicht (und senkt damit die Entropie bei gleicher Länge leicht), ein kleiner, meist lohnender Kompromiss für Passwörter, die Sie nicht immer kopieren und einfügen werden.

Manche Anmeldeformulare lehnen Passwörter ab, die keine Mischung von Zeichentypen enthalten, selbst wenn die Gesamtlänge und Zufälligkeit stark sind. Ist dies aktiviert, garantiert der Generator mindestens ein Zeichen aus jedem gewählten Typ, bevor der Rest zufällig aufgefüllt wird, und mischt dann das gesamte Ergebnis, damit die garantierten Zeichen nicht vorhersehbar am Anfang stehen.

Ja, jedes Passwort in einem Stapel wird unabhängig mit eigenen frischen Zufallsbytes erzeugt, sodass die Kenntnis eines Passworts im Stapel keine Information über die anderen liefert. Für jedes Konto ein anderes, unabhängig generiertes Passwort zu verwenden (statt Variationen eines Passworts), ist genau das, was Sie schützt, falls eine von Ihnen genutzte Website jemals kompromittiert wird.

Nein, die Generierung erfolgt vollständig in Ihrem Browser mit JavaScript, es wird nichts an einen Server gesendet, und die Seite speichert keinen Verlauf früherer Werte über eine lokal gespeicherte Zusammenfassung der Zeichenanzahl hinaus (niemals das Passwort selbst) für das Verlaufsfeld auf dieser Seite.