Passwort- & Token-Generator
Passwörter, Passphrasen und API-Tokens, erzeugt aus der kryptografischen Zufallsquelle Ihres Browsers — crypto.getRandomValues, niemals Math.random — und nur in diesem Tab existent. Der eine Ort, an dem ein Passwort niemals erzeugt werden darf, ist ein protokollierter KI-Chat, in dem die „zufällige“ Zeichenfolge vorhergesagter Text ist und das Gespräch eine Kopie behält. Hier ist der Zufall echt und die Kopie allein Ihre.
Passwort
Passphrase
API-Token
Stärkeprüfer
Zufall ist ein Mechanismus, kein Gefühl
Jedes Geheimnis auf dieser Seite stammt aus crypto.getRandomValues, der Schnittstelle des Browsers zum Entropie-Pool des Betriebssystems — derselben Quelle, die Ihr Passwortmanager nutzt. Die Auswahl erfolgt per Rejection Sampling, sodass jedes Zeichen und jedes Wort gleich wahrscheinlich ist; ein naives Modulo eines Zufallsbytes begünstigt manche Zeichen leise, und in einem Passwortgenerator ist eine leise Verzerrung ein echter Defekt. Math.random kommt nirgends vor: Es ist ein schneller, vorhersagbarer Generator für Animationen, und seine künftige Ausgabe lässt sich aus seiner vergangenen Ausgabe rekonstruieren. Die neben jedem Ergebnis gedruckten Entropiewerte werden aus den tatsächlichen Pools berechnet — ein 20-Zeichen-Passwort aus allen vier Mengen sind 20 × log₂(95) ≈ 131 Bit; eine Fünf-Wort-Passphrase aus der 560-Wort-Liste sind 5 × log₂(560) ≈ 45 Bit —, sodass Sie Formen ehrlich vergleichen können statt danach, wie kompliziert sie aussehen. Und die operative Regel, die die ganze Seite motiviert, verdient Wiederholung: Ein in einem Chatfenster erzeugtes Passwort ist ein Passwort, das im Verlauf dieses Chats gespeichert ist, auf fremder Infrastruktur, unter einem Konto, das kompromittiert werden kann. Der Leitartikel Lassen Sie nie einen Chatbot Ihre Geheimnisse machen führt den vollständigen Fall aus; der Hash-Erkenner ist der Begleiter für den Tag, an dem Sie einem Ihrer alten Passwörter in Digestform begegnen. Hinweis: Die Wortliste der Passphrasen bleibt Englisch (sie sind die Daten der Phrase selbst).
Häufige Fragen
Warum nicht einfach einen Chatbot um ein Passwort bitten?
Drei Gründe, jeder für sich ausreichend. Das „zufällige“ Passwort eines Chatbots ist vorhergesagter Text, kein gesampelter Zufall — Modelle haben messbare Lieblingsmuster, und ein Passwort, dessen Form ein Angreifer vorhersagen kann, ist ein halb erratenes Passwort. Der Chat wird protokolliert: Das Passwort, das Sie gerade bekamen, existiert in einem Gesprächsverlauf auf den Servern eines Dritten, an Ihr Konto geheftet. Und das Modell kann keine echte Zufallsquelle nutzen — hinter einer Chat-Antwort gibt es kein crypto.getRandomValues. Dieser Generator sampelt die kryptografische Zufallsquelle des Browsers direkt, und das Ergebnis existiert nur in diesem Tab. Das vollständige Argument steht in Lassen Sie nie einen Chatbot Ihre Geheimnisse machen.
Passwort oder Passphrase — was sollte ich verwenden?
Beides, für verschiedene Hände. Maschinen-gespeicherte Zugangsdaten (die Einträge eines Passwortmanagers, API-Tokens) sollten Passwörter oder Tokens sein: maximale Entropie pro Zeichen, nie von einem Menschen getippt. Alles, was ein Mensch tippen oder sich merken muss — das Master-Passwort des Passwortmanagers selbst vor allem — sollte eine Passphrase sein: Fünf Wörter aus einer 560-Wort-Liste tragen etwa 45 Bit und lassen sich tatsächlich merken, während das „clevere“ 10-Zeichen-Passwort, das sie ersetzt, meist weniger trägt und bis Freitag vergessen ist.
Was bedeutet die Entropiezahl eigentlich?
Die Zahl der Ja/Nein-Fragen, die ein Angreifer beantworten muss, im Schnitt die Hälfte von 2^Bit Versuchen, um das Geheimnis mit Gewalt zu brechen — in der Annahme, er weiß genau, wie es erzeugt wurde, was ehrliche Schätzungen immer annehmen. 40 Bit fällt einem motivierten Angreifer mit gemieteten GPUs; 65 Bit ist für Massenanstürme praktisch unerreichbar; 100+ Bit ist unerreichbar, Punkt, für alles außer dem Brechen der Mathematik selbst. Die Zahl des Generators ist für seine eigene Ausgabe exakt, weil Pool und Länge bekannt sind; die Zahl des Stärkeprüfers ist als Schätzung etikettiert, weil der wahre Pool eines getippten Passworts eine Vermutung ist.
Ist das Urteil des Stärkeprüfers vertrauenswürdig?
Als Boden, nicht als Versprechen. Es modelliert den Pool, den Ihre Zeichen implizieren, und kassiert dann für die Muster, die Knack-Wörterbücher zuerst ausnutzen — Wiederholungen, Alphabet- und Tastaturfolgen, Jahre und schlicht die häufigsten Passwörter des Internets. Was es nicht sehen kann, ist Bedeutung: Der Name eines Haustiers plus ein Geburtstag ist „fair“ nach der Mathematik und wertlos gegen jeden, der Sie kennt. Behandeln Sie ein gutes Urteil als notwendig, nicht hinreichend — und bevorzugen Sie ein erzeugtes Geheimnis gegenüber einem bewerteten, wann immer eine Maschine es speichern kann.
Werden erzeugte Passwörter irgendwo gespeichert oder gesendet?
Nein. Die Erzeugung geschieht in dieser Seite, aus crypto.getRandomValues, und die Ergebnisse leben im Speicher des Tabs, bis Sie ihn schließen. Es gibt kein Konto, keine Synchronisierung, kein Analyse-Ereignis, das Ihre Ausgabe trägt. Die Folgerung liegt bei Ihnen: Ein erzeugtes Passwort, das Sie nicht sofort in einem Passwortmanager speichern, ist weg, wenn der Tab sich schließt — was die korrekte Fehlerart ist, aber planen Sie dafür.