Wie der Generator zufällige, starke Passwörter erzeugt
Was dieses Werkzeug leistet
Dieses Werkzeug setzt ein zufälliges Passwort aus den Zeichentypen zusammen, die Sie aktivieren — Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen — in beliebiger Länge zwischen 4 und 128 Zeichen. Jedes Zeichen wird mit crypto.getRandomValues gezogen, der kryptografisch sicheren Zufallsquelle des Browsers, statt mit dem vorhersehbaren Math.random, das viele improvisierte Skripte verwenden, und jeder aktivierte Typ kommt mindestens einmal vor. Eine Stärkeanzeige bewertet jedes Ergebnis anhand seiner Entropie in Bit als Schwach, Mittel oder Stark, und die Passwörter, die Sie kopieren, bleiben in einer kurzen Liste, damit Sie eines erneut greifen können, während Sie sich entscheiden.
Wann sich der Einsatz lohnt
Greifen Sie darauf zurück, sobald ein Konto, eine Datenbank, ein API-Schlüssel oder ein WLAN einen Zugang braucht, den kein Mensch von sich aus wählen würde. Die erzeugten Zeichenfolgen enthalten keine Wörterbuchwörter, Tastaturmuster oder persönlichen Angaben — genau das vereitelt Rate- und Brute-Force-Angriffe. Praktisch ist es auch, wenn eine Seite eine bestimmte Vorgabe erzwingt, etwa mindestens 16 Zeichen mit wenigstens einem Sonderzeichen, denn Länge und Zeichensätze lassen sich vor dem Kopieren passend einstellen. Muss ein Client diesen Zugang in einem HTTP-Basic-Auth-Header mitschicken, erzeugt der Base64-Encoder genau die Zeichenfolge, die dieser Header erwartet.
Ein konkretes Beispiel
Angenommen, ein Dienst verlangt 20 Zeichen einschließlich Sonderzeichen. Stellen Sie die Länge auf 20 und lassen Sie alle vier Zeichentypen aktiv — sofort erscheint ein neues Passwort, etwa k7$Rf2!qXm9@Lp4#Vn8w. Wenn Sie es von Hand tippen oder vorlesen wollen, aktivieren Sie Ähnliche Zeichen ausschließen, damit Verwechslungspaare wie der Buchstabe l, die Ziffer 1, das große O und die Null gar nicht erst vorkommen, und Mehrdeutige Zeichen ausschließen, um Klammern und Anführungszeichen zu entfernen, mit denen manche Eingabefelder Probleme haben.
Hinweise und Grenzfälle
Die Länge zählt mehr als jeder einzelne Kniff: Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Kombinationen, sodass ein langes Passwort aus einem kleinen Zeichensatz oft ein kurzes, symbolgespicktes schlägt. Einen Zeichentyp abzuschalten verkleinert diesen Vorrat, und alle abzuschalten lässt nichts mehr übrig, aus dem sich bauen ließe — mindestens einer muss also ausgewählt bleiben. Und schließlich ist die Wiederverwendung die eigentliche Schwachstelle: Ein Passwort ist nur so sicher wie die eine Seite, die es schützt, also erzeugen Sie für jedes Konto ein frisches, eigenes, statt dieselbe Zeichenfolge überall einzusetzen. Wenn Sie ein Passwort festhalten oder abgleichen müssen, ohne den Klartext aufzubewahren, schicken Sie es durch den Hash-Generator und speichern Sie stattdessen den SHA-256-Fingerabdruck.