Geheimnisse, und Beweise
Die Tools in dieser Kategorie wirken auf den ersten Blick unzusammenhängend, bis man erkennt, was sie verbindet.
Der Passwort-Generator erzeugt ein Geheimnis, das niemand erraten kann. Der Ziehungsprüfer beweist, dass ein Ergebnis, das niemand vorhersagen konnte, auch nicht im Nachhinein still verändert wurde. Beides sind Fragen über Zufälligkeit — die eine, wie man sie geheim hält, die andere, wie man beweist, dass sie echt war.
Diese zweite Frage ist die, die die meisten Seiten überspringen. Ein Gewinnspiel, eine Verlosung, eine Schichteinteilung: Der Veranstalter weiß, dass die Ziehung fair war, und alle anderen müssen es ihm einfach glauben. Ein Seed plus ein Fingerabdruck macht aus „Vertrauen Sie mir” etwas, das ein Teilnehmer selbst überprüfen kann.
Welches Tool wofür
Ein Zugangsdatum erstellen — ein Login-Passwort, eine Passphrase, die Sie aus dem Gedächtnis eintippen müssen, eine numerische PIN oder ein API-Key für eine Konfigurationsdatei. Alle vier stammen aus dem Passwort-Generator, der auch die Entropie und eine geschätzte Zeit zum Knacken anzeigt, sodass die gewählte Länge eine informierte Entscheidung ist, keine Vermutung.
Eine fremde Ziehung prüfen — fügen Sie das Zertifikat in den Ziehungsprüfer ein. Er berechnet das Ergebnis aus dem Seed neu und vergleicht den Fingerabdruck. Stimmt eines von beidem nicht überein, wurden die Zahlen nach der Ziehung verändert.
Warum ein Passwort von hier zu bekommen kein Widerspruch ist
Ein Passwort von einer Website zu beziehen, klingt nach der denkbar schlechtesten Art, eines zu bekommen. Meistens stimmt das auch: Wird der Wert auf einem Server erzeugt, existierte er, bevor er auf Ihrem Gerät existierte, bereits auf einer fremden Maschine — und Sie haben keine Möglichkeit zu wissen, was dort damit geschah.
Hier wird nichts auf einem Server erzeugt. Die Zeichen stammen aus
crypto.getRandomValues(), der Browser-API, die vom Entropie-Pool Ihres
Betriebssystems gespeist wird — derselben Quelle, die Ihr Browser zum Aushandeln
von HTTPS nutzt. Die Seite stellt während der Nutzung keine Netzwerkanfrage.
Das können Sie überprüfen, indem Sie den Netzwerk-Tab der Entwicklertools
öffnen, ein Passwort erzeugen und beobachten, dass nichts passiert. Wenn Sie
selbst das nicht auf Vertrauen stützen möchten, trennen Sie zuerst die
Netzwerkverbindung — das Tool funktioniert weiter.
Was diese Kategorie bewusst nicht enthält
Es gibt keinen Passwort-Stärke-Prüfer, in den Sie ein bestehendes Passwort einfügen. Ein echtes Passwort in ein Webformular zum „Prüfen” einzugeben, ist eine schlechte Angewohnheit, unabhängig davon, was die Seite verspricht — und der Generator zeigt die Entropie ohnehin schon für die Passwörter, die er erzeugt.
Es gibt keine Datenleck-Abfrage, keinen Passwort-Manager und kein Hash-Tool. Für einen Manager nutzen Sie einen dedizierten Dienst — Bitwarden, 1Password und KeePass lösen alle das Problem, das diese Seite nicht lösen kann: sich die Passwörter für Sie zu merken. Für die Prüfung auf Datenlecks ist Have I Been Pwned die Referenz.