Eine Passphrase aus zufälligen Wörtern erzeugen

Eine Passphrase aus Zufallswörtern erstellen

Die Wörter werden in deinem Browser erzeugt und verlassen diese Seite nie. Die Werkzeugseiten werden mit einer Content Security Policy ausgeliefert, die jede Netzwerkverbindung verbietet, sodass das eigene Skript der Seite ein Foto nirgendwohin senden könnte, nicht einmal zurück an diese Website. Eine Prüfung bei jedem Build schlägt fehl, wenn ein Werkzeug-Skript Cookies, Local Storage, Session Storage oder IndexedDB verwendet, sodass die Foto-Werkzeuge nichts in deinem Browser behalten.

Wie viele Wörter Wörter: 4 Wörter: 5 Wörter: 6 Wörter: 7 Wörter: 8 Wörter: 10

Zwischen den Wörtern

Ein LeerzeichenAm leichtesten zu lesen und auf dem Handy einzutippen. Ein BindestrichFür Orte, die keine Leerzeichen zulassen. Ein Punkt

Für Websites mit Regeln

Jedes Wort großschreibenFür eine Website, die einen Großbuchstaben verlangt. Es bringt keine zusätzliche Stärke, denn jedes Wort bekommt einen. Eine zufällige Ziffer hinzufügenFür eine Website, die eine Zahl verlangt. Sie kommt an eine zufällige Stelle und bringt ein paar Bit.

Jedes Wort wird vom kryptografischen Zufallsgenerator deines Browsers aus einer Liste von 7.775 Wörtern gezogen, jedes Wort gleich wahrscheinlich. Eine neue Passphrase ersetzt die alte; die Seite führt keine Liste davon.

Wie die Wörter gezogen werden

1. Wähle eine Länge. Sechs Wörter sind der Standard und der Rat der EFF für die meisten Zwecke. Nimm mehr für etwas, das viel schützt.
2. Der Browser zieht jedes Wort. Er nutzt crypto.getRandomValues, das kryptografisch starke Zufallswerte liefert, und verwirft die seltenen Ziehungen, die manche Wörter begünstigen würden. Jedes Wort der Liste ist jedes Mal gleich wahrscheinlich.
3. Kopiere sie oder erzeuge eine neue. Eine neue Phrase ersetzt die letzte. Die Seite führt keine Liste, eine Phrase, die du nicht kopiert hast, ist also weg.

Ändere die Phrase nicht in etwas, das dir besser gefällt. Ein Wort gegen ein Lieblingswort zu tauschen ist eine Entscheidung, und Entscheidungen probiert ein Rater zuerst.

Was die Bits bedeuten

Bit Entropie zählen die Versuche. Jedes Bit verdoppelt die Zahl der Phrasen, die ein Rater durchsuchen muss. Die lange Liste der EFF hat 7.776 Wörter, jedes Wort bringt also etwa 12,9 Bit, und sechs Wörter ergeben etwa 77 Bit. Im Schnitt findet ein Rater eine Phrase, nachdem er die Hälfte aller Kombinationen probiert hat.

Diese Zählung gilt nur für zufällig gezogene Wörter. Sie nimmt schon an, dass der Rater dieselbe Liste hat und weiß, wie viele Wörter du genommen hast. Eine Phrase, die du dir selbst ausdenkst, etwa eine Liedzeile, ist weit weniger wert, als ihre Länge vermuten lässt, weil Menschen Zeilen wählen, die auch andere wählen.

Bits sind keine Zeit. Wie lange ein Versuch dauert, hängt davon ab, was die Phrase schützt. Eine Website, die Fehlversuche ausbremst, oder eine App, die jeden Versuch mit einem langsamen Schlüsselschritt streckt, verschafft viel Zeit. Eine Datei, die jemand kopieren und offline testen kann, verschafft am wenigsten. Nimm für diesen Fall mehr Wörter.

Wie viele Wörter du wählst

• 4 Wörter, etwa 52 Bit bei 12,9 Bit pro Wort: in Ordnung, wo Fehlversuche begrenzt sind, etwa auf einem Sperrbildschirm. Zu kurz für alles, was sich offline testen lässt.
• 6 Wörter, etwa 77 Bit: die Länge, die die EFF empfiehlt für die meisten Zwecke, und ein solider Standard.
• Sieben oder mehr: für das Hauptpasswort eines Passwortmanagers oder alles, woran jemand jahrelang mit einer Kopie arbeiten könnte.

Die Wortliste und das eine ausgelassene Wort

Die Wörter stammen aus der langen EFF-Liste für Würfel-Passphrasen, 2016 veröffentlicht und unter einer Creative-Commons-Lizenz mit Namensnennung geteilt (die Copyright-Seite der EFF nennt Version 4.0, ihr Logo verweist auf die Lizenz 3.0 US). Der Dank für die Liste gebührt der EFF. Eines ihrer 7.776 Wörter fehlt hier: das Verb, das „holen gehen“ bedeutet. Die eigene Prüfung dieser Website verweigert dieses Wort in jeder Schrift, denn es ist auch der Name eines Aufrufs, der Daten sendet, und die Prüfung beweist, dass die Werkzeuge nichts senden. Diese Seite zieht also aus 7.775 Wörtern und berechnet die Stärke aus dieser Zahl, was pro Wort einen winzigen Bruchteil eines Bits kostet.

Wo Sealed hilft und wo nicht

Es hilft, wenn du eine Phrase vor deinen Tresorschlüssel setzen willst. Bei einer Tresor-Passphrase wird dein Tresorschlüssel unter einer Passphrase versiegelt, die du bei jedem Entsperren des Tresors eintippst, und wenn du sie verlierst, öffnet nur dein Wiederherstellungsschlüssel den Tresor. Sie muss mindestens 12 Zeichen lang sein, und eine Phrase aus sechs Wörtern von dieser Seite übertrifft diese Länge locker. Abgeleitet wird der Schlüssel bei 1.000.000 Runden. Die Tresor-Passphrase ist Teil von Sealed Pro.

Es hilft auch bei einer Kopie deines Wiederherstellungsschlüssels. Sealed schlägt sechs zufällige Wörter als Phrase für eine versiegelte Kopie vor, und du kannst stattdessen eine eigene Phrase eintippen. Sealed bewahrt die Phrase einer versiegelten Kopie nicht auf, eine vergessene Phrase bedeutet also, dass sich diese Kopie nicht öffnen lässt.

Es bewahrt deine Phrasen nicht für dich auf. Weil dein Schlüssel uns nie erreicht, können wir deinen Tresor nicht wiederherstellen und deinen Code nicht für dich zurücksetzen. Schreib eine Phrase auf Papier oder leg sie in einem Passwortmanager ab, bevor du dich auf sie verlässt. Der Leitfaden zur Wahl einer Passphrase behandelt, wo man eine aufbewahrt.