Passwort- und Secret-Generator
Generieren Sie zufällige Passwörter, Passphrasen aus Wörtern und API-Tokens, und sehen Sie zu jeder Auswahl die Entropie in Bit.
Zufällige Bytes
Darstellung
Entropie
Generierte Secrets
Ihre Sticker
Heften Sie hier Tools an. Sie werden in diesem Browser gespeichert.
Heften Sie ein Tool an, und sein Sticker landet hier.
Über dieses Tool
Wie die Secrets entstehen
Jedes Zeichen, jedes Wort und jedes Byte stammt aus crypto.getRandomValues, dem kryptografischen Zufallszahlengenerator des Browsers. Math.random wird nirgends verwendet, denn es wurde nicht für Geheimnisse entworfen, und seine Ausgabe lässt sich vorhersagen.
Die Auswahl aus einem Zeichenvorrat erfordert Sorgfalt. Die übliche Abkürzung, ein zufälliges Byte modulo der Vorratsgröße zu nehmen, macht manche Zeichen etwas wahrscheinlicher als andere, sobald 256 nicht glatt durch die Vorratsgröße teilbar ist. Dieses Tool verwendet stattdessen Rejection Sampling: Es nimmt nur so viele Zufallsbits, wie der Vorrat braucht, und ein Wert außerhalb des Vorrats wird verworfen und neu gezogen. Die Regel „mindestens ein Zeichen jeder Art“ wird genauso umgesetzt. Ein ganzes Passwort, dem eine Art fehlt, wird verworfen, sodass jedes Passwort, das die Regel erfüllt, gleich wahrscheinlich ist.
Die Secrets existieren nur auf dieser Seite. Sie werden nirgendwohin gesendet und nicht im Browser gespeichert, und sie sind weg, sobald Sie neu generieren oder den Tab schließen.
Was die Entropie-Angabe bedeutet
Die Entropie in Bit ist der Logarithmus zur Basis 2 der Anzahl gleich wahrscheinlicher Ergebnisse, jedes zusätzliche Bit verdoppelt also den Aufwand beim Raten. Der Wert wird aus den tatsächlich verwendeten Optionen berechnet und auf ein ganzes Bit abgerundet. Mit allen vier Zeichenarten umfasst der Vorrat 87 Zeichen, und eine Länge von 20 ergibt 128 Bit. Ohne verwechselbare Zeichen schrumpft der Vorrat auf 82, und dieselbe Länge ergibt 126. Die Passphrasen-Liste hat 1.024 Wörter, das sind genau 10 Bit pro Wort: Fünf Wörter sind 50 Bit, acht sind 80. Ein Token hat 8 Bit pro Byte, 32 Bytes sind also 256 Bit.
Die Zahl beschreibt den Generator, nicht das Aussehen des Ergebnisses. Sie gilt, weil die Auswahl zufällig war. Ein Passwort, das sich ein Mensch ausgedacht hat, hat meist weit weniger Entropie, als seine Länge vermuten lässt. Ein starkes Passwort, das auf zwei Websites verwendet wird, ist auf beiden kompromittiert, sobald es bei einer davon geleakt wird.
Welche Art wählen
Verwenden Sie zufällige Zeichen für alles, was ein Passwortmanager für Sie speichert und eingibt. Verwenden Sie eine Passphrase für die wenigen Secrets, die Sie sich merken oder von Hand eingeben müssen, etwa das Passwort des Passwortmanagers selbst oder einer verschlüsselten Festplatte, und machen Sie sie mit zusätzlichen Wörtern statt mit Tricks stärker. Verwenden Sie ein Token für Secrets, die nur Software liest: API-Schlüssel, Session-Secrets, Signaturschlüssel für HMAC oder JWT. Hex verwendet nur Ziffern und die Buchstaben a bis f. Base64url transportiert dieselben Bytes in weniger Zeichen, und keines seiner Zeichen muss in einer URL maskiert werden.
Die Option gegen verwechselbare Zeichen hilft, wenn ein Passwort vorgelesen oder von Papier abgeschrieben wird. Der Sonderzeichensatz lässt Anführungszeichen, den Backslash, den Backtick, spitze Klammern und das Leerzeichen weg, die Shell-Befehle und Konfigurationsdateien gern kaputt machen. Zeichen wie $, & und ! bleiben enthalten, setzen Sie das Passwort auf der Kommandozeile also in einfache Anführungszeichen.
Fragen
Ist es sicher, ein Passwort auf einer Webseite zu generieren?
Diese Seite generiert auf Ihrem Gerät mit dem kryptografischen Zufallszahlengenerator des Browsers und sendet oder speichert das Ergebnis nicht. Wofür sie nicht bürgen kann, ist das Gerät selbst: Schadsoftware oder eine bösartige Browser-Erweiterung kann lesen, was eine Seite anzeigt. Wenn Sie einen Passwortmanager verwenden, speichert dessen eingebauter Generator das neue Passwort im selben Schritt.
Wie lang sollte ein Passwort sein?
Zählen Sie Bits, nicht Zeichen. Mit allen vier Zeichenarten ergeben 12 Zeichen 76 Bit und 16 Zeichen 102 Bit, was für ein Kontopasswort stark ist. Für einen Schlüssel oder ein API-Secret sollten Sie 128 Bit oder mehr anstreben: 20 Zeichen oder ein Token mit mindestens 16 Bytes.
Ist eine Passphrase so stark wie ein zufälliges Passwort?
Das hängt allein von den Bits ab. Fünf Wörter aus dieser Liste sind 50 Bit, etwa so viel wie 8 vollständig zufällige Zeichen, und zehn Wörter sind 100 Bit, nahe an 16 zufälligen Zeichen. Eine Passphrase ist bei gleicher Stärke länger, aber viel leichter einzugeben und zu merken.
Was sollte ich für einen API-Schlüssel oder ein Session-Secret verwenden?
Verwenden Sie den Token-Modus mit 32 Bytes, also 256 Bit, und nie weniger als 16 Bytes. Bewahren Sie den Wert in einem Secret-Manager oder einer Umgebungsvariablen auf, nicht im Quellcode, und ersetzen Sie ihn, falls er jemals in einem Log, einem Chat oder einem Repository auftaucht.