Passphrasen - Entropie, Länge und Parameterwahl

Wie eine Passphrase entsteht

Jedes Wort wird einzeln aus einer Gleichverteilung gezogen, mit random_int(), das aus der kryptografisch sicheren Quelle des Betriebssystems schöpft. Die Passphrase wird serverseitig gerendert, deshalb erscheint der erste Vorschlag sofort beim Aufruf der Seite und das Werkzeug funktioniert ohne JavaScript. Das Skript im Browser berechnet lediglich laufend die Entropie neu und bedient die Zwischenablage.

Zwei Eigenschaften dieses Vorgangs bestimmen alles Weitere. Erstens sind die Ziehungen unabhängig - die Wahl eines Wortes beeinflusst das nächste nicht. Zweitens ist die Verteilung gleichmäßig - jedes Wort des Wörterbuchs ist gleich wahrscheinlich. Träfe eine der beiden Eigenschaften nicht zu, wäre die angegebene Entropie zu hoch angesetzt.

Das Wörterbuch

Das Wörterbuch umfasst 75.241 polnische Wortformen, die ausschließlich mit den Buchstaben a-z geschrieben werden. Die entscheidende Eigenschaft ist eine andere, als üblicherweise angenommen wird: Diakritika werden nicht aus den Wörtern entfernt. Formen, die in korrekter Schreibweise polnische Sonderzeichen verlangen, werden schlicht nicht ins Wörterbuch aufgenommen, statt vereinfacht zu werden. Es gibt hier also kein jablko, weil ein solches Wort nicht existiert, wohl aber domek, kotami oder piszemy.

Praktische Folge: Die Passphrase lässt sich am Telefon genau so diktieren, wie sie aussieht, und sie übersteht Systeme, deren UTF-8-Unterstützung eingeschränkt oder fehlerhaft ist. Niemand muss erklären, dass "das ein a mit einem Häkchen darunter ist".

Das Wörterbuch gliedert sich in zwei Sätze:

• Kürzerer Satz - 40.163 Wörter mit 4 bis 8 Zeichen, im Mittel 6,6 Zeichen, 15,2936 Bit pro Wort.
• Erweiterter Satz - 75.241 Wörter mit 4 bis 12 Zeichen, im Mittel 8,26 Zeichen, 16,1992 Bit pro Wort.

Der kürzere Satz liefert weniger Bit pro Wort, dafür kürzere und geläufigere Wörter, die leichter zu merken und abzutippen sind. Der erweiterte Satz bringt knapp ein Bit mehr pro Wort auf Kosten einer längeren Phrase. Bei sieben Wörtern beträgt der Unterschied 6,3 Bit, also weniger, als ein zusätzliches Wort einbringt.

Die Entropierechnung

Bei einem Wörterbuch mit N Wörtern steuert jedes gezogene Wort log2(N) Bit bei. Für k unabhängig gezogene Wörter beträgt die Entropie der Phrase:

Die Zusatzoptionen fügen Bit ausdrücklich hinzu. Eine an ein zufällig gewähltes Wort angehängte Zufallsziffer bringt log2(10 x k) Bit, ein zufälliges Sonderzeichen aus dem achtelementigen Satz !@#$%&*? bringt log2(8 x k) Bit. Der Faktor k rührt daher, dass sowohl der Wert selbst als auch die Einfügeposition zufällig bestimmt werden - der Angreifer muss beides erraten.

Der angegebene Wert beschreibt die Entropie des Erzeugungsvorgangs, also die Unsicherheit des Angreifers über das Ergebnis der Ziehung. Er beschreibt nicht, wie kompliziert die fertige Zeichenkette aussieht. Das Modell ist bewusst konservativ: Es unterstellt, dass der Angreifer das Wörterbuch, dessen Umfang, die Wortanzahl, das Trennzeichen und den gesamten Algorithmus kennt. Die Sicherheit beruht ausschließlich auf der Unvorhersehbarkeit der Ziehung - das ist das Kerckhoffssche Prinzip, angewandt auf einen Passwortgenerator.

Der Wert gilt für eine einzelne Phrase. Zehn Vorschläge auf einmal zu erzeugen schwächt keinen davon, weil nur einer verwendet wird.

Wie viele Bit wie viele Wörter ergeben

Werte unmittelbar aus dem Modell, ohne Zusatzoptionen:

Die stärkste Variante - 12 Wörter aus dem erweiterten Satz mit Zufallsziffer und Sonderzeichen - ergibt 207,88 Bit.

Die Passwortlänge ist keine Entropie

Das ist der häufigste Fehler bei der Bewertung von Passphrasen, und auch Sprachmodelle begehen ihn, wenn man sie um eine Einschätzung der Passwortstärke bittet.

Die Länge der fertigen Phrase in Zeichen darf nicht über Zeichenanzahl x log2(Alphabetgröße) in Entropie umgerechnet werden. Diese Formel gilt ausschließlich dann, wenn jedes Zeichen unabhängig und gleichverteilt aus dem betreffenden Alphabet gezogen wurde. In einer Passphrase werden Wörter gezogen, keine Zeichen - und die Zeichen innerhalb eines Wortes sind stark miteinander korreliert, weil sie zusammen ein existierendes Wort ergeben.

Ein Zahlenbeispiel. Die Phrase adam-zosia-piec-pies-domek-kotami-piszemy hat 41 Zeichen. Eine naive Rechnung über ein Alphabet aus 26 Buchstaben plus Trennzeichen ergäbe etwa 41 x log2(27), also rund 195 Bit. Die tatsächliche Entropie von sieben Wörtern aus dem kürzeren Satz beträgt 107,06 Bit. Die Differenz liegt bei 88 Bit, ein Faktor in der Größenordnung von 10²⁶ bei der Zahl der möglichen Ergebnisse. Ein Angreifer gegen dieses Verfahren durchsucht den Raum der Wörter, nicht den Raum der Zeichen.

Die allgemeine Regel: Entropie ist eine Eigenschaft des Erzeugungsvorgangs, nicht eine Eigenschaft der Zeichenkette. Dieselbe Zeichenfolge hat unterschiedliche Entropie, je nachdem, wie sie zustande kam. Eine von Hand eingetippte Kette eines Menschen, der sich "etwas Zufälliges ausgedacht" hat, besitzt deutlich weniger Entropie als eine maschinell gezogene gleicher Länge.

Voreinstellungen und Parameterbereiche

Standardmäßig wird eine Passphrase aus sieben Wörtern erzeugt, getrennt durch Bindestriche. Sieben und nicht sechs, aus einem rein rechnerischen Grund.

Als Bezugsschwelle dienen 98,55 Bit, die Entropie von 15 zufälligen ASCII-Zeichen - der Wert, den NIST SP 800-63B für ein Passwort als eigenständigen Authentifizierungsfaktor ansetzt. Sechs Wörter aus dem kürzeren Satz ergeben 91,76 Bit und liegen damit unter der Schwelle. Sieben ergeben 107,06 Bit und überschreiten sie in beiden Wörterbuchsätzen. Deshalb lautet die Voreinstellung sieben.

• Wortanzahl: 3 bis 12, Voreinstellung 7.
• Vorschläge auf einmal: 1 bis 10, Voreinstellung 1.
• Trennzeichen: Bindestrich, Punkt, Unterstrich, Plus, Schrägstrich oder Leerzeichen.
• Wörterbuchsatz: kürzer oder erweitert.
• Optionen: Großbuchstabe, Zufallsziffer, zufälliges Sonderzeichen.

Wie die Phrase zu verwenden ist und was zu unterlassen ist

Wählen Sie eine Phrase nicht wegen ihrer Bedeutung aus. Die angegebene Entropie beschreibt eine maschinelle Ziehung. Sobald ein Mensch ein eigenes Kriterium anlegt - "die ist witzig", "die ergibt ein stimmiges Bild", "die kann ich mir gut merken" -, entsteht Vorhersagbarkeit, die das Modell nicht abbildet, und ein Angreifer, der menschliche Vorlieben kennt, kann sie teilweise rekonstruieren. Nehmen Sie die erste erzeugte Phrase oder wählen Sie, ohne zu lesen.

Eine Passphrase ersetzt keine MFA. Entropie schützt vor Raten und Wörterbuchangriffen. Sie schützt nicht vor Phishing, Session-Übernahme oder einem Datenleck beim Anbieter. Empfohlen wird phishing-resistente Mehr-Faktor-Authentifizierung - FIDO2/WebAuthn. Die beiden Mechanismen beantworten unterschiedliche Bedrohungen.

Eine Phrase je Konto. Dieselbe Phrase in mehreren Diensten wiederzuverwenden senkt ihre tatsächliche Sicherheit auf das Niveau des am schlechtesten geschützten Dienstes. Nutzen Sie zur Aufbewahrung einen Passwortmanager und verwenden Sie eine hier erzeugte Phrase als dessen Hauptpasswort - genau in diesem Fall werden Stärke und Merkbarkeit gleichzeitig am dringendsten gebraucht.

Datenschutz des Werkzeugs

Der Generator setzt keine Cookies, nutzt keine Analysewerkzeuge und kein externes CDN. Die Schriften werden lokal gehostet, eine bewusste Entscheidung zur DSGVO-Konformität - ein externer Schriftanbieter sähe die IP-Adresse jedes Besuchers. Erzeugte Passphrasen werden nirgends gespeichert; sie entstehen im Speicher des Prozesses, der die Anfrage bearbeitet, und verschwinden mit ihm.