Merkbare Passphrase deterministisch mit Seed generieren

Sie wählen mindestens drei Wörter und ein Trennzeichen und erhalten sowohl die fertige Passphrase als auch die einzelnen Wörter. Da das Verfahren deterministisch ist, liefern derselbe Seed, dieselbe Anzahl und dasselbe Trennzeichen in unterstützten Umgebungen stets dasselbe Ergebnis. Das eignet sich für reproduzierbare Tests, kontrollierte Wiederherstellungsabläufe und Systeme, die eine lesbare Phrase ableiten müssen, ohne sie zu speichern. Der Seed bleibt das entscheidende Geheimnis: Wer ihn errät, kann die Ausgabe reproduzieren.

So funktioniert die deterministische Erzeugung

Ein herkömmlicher Passwortgenerator zieht bei jedem Lauf neue Zufallszeichen. Eine wiederholte Anfrage ergibt deshalb eine andere Antwort. Dieses Werkzeug verfolgt einen anderen Zweck. Es wandelt den angegebenen Seed in einen festen internen Zustand um, entwickelt diesen Zustand für jedes angeforderte Wort einmal weiter und ordnet jeden Wert einem Eintrag aus einer kuratierten Liste mit 256 verschiedenen englischen Kleinbuchstabenwörtern zu. Anschließend werden die ausgewählten Wörter mit dem von Ihnen angegebenen Trennzeichen verbunden. Netzwerkaufrufe, Systemzeit, eine Zufallsquelle der Laufzeit oder ein veränderliches externes Wörterbuch sind nicht beteiligt. Identische Eingaben reproduzieren daher exakt dieselbe Passphrase einschließlich Reihenfolge und Zeichensetzung. Die Antwort enthält die Wörter zusätzlich als Liste. Eine Oberfläche kann dadurch jedes Element einzeln anzeigen, vorlesen oder prüfen. Die Wortanzahl muss eine ganze Zahl zwischen 3 und 24 sein, der Seed darf nicht leer sein und das Trennzeichen muss ein bis drei Zeichen enthalten. Diese Grenzen halten die Verarbeitung vorhersehbar und verhindern unbegrenzte Arbeit oder mehrdeutige leere Trennzeichen.

Wählen Sie einen Seed mit passenden Sicherheitseigenschaften

Determinismus ist nützlich, verändert aber das Sicherheitsmodell. Die Passphrase ist nur so schwer zu reproduzieren, wie der Seed schwer zu erraten ist. Ein öffentlicher Benutzername, eine E-Mail-Adresse, ein Geburtstag, ein Projektname oder ein bekanntes Zitat sind keine geeigneten geheimen Seeds, auch wenn die abgeleiteten Wörter ungewöhnlich wirken. Ein Angreifer kann wahrscheinliche Werte mit demselben Algorithmus ausprobieren und die Ergebnisse vergleichen. Beginnen Sie bei sicherheitskritischen Anwendungen mit Material, das durch ein vertrauenswürdiges Geheimnismanagement erzeugt und verwahrt wird, und bewahren Sie es getrennt von der erzeugten Passphrase auf. Mehr Wörter verlängern die sichtbare Phrase, beheben aber keinen schwachen oder offengelegten Seed. Das Werkzeug fügt bei einem neuen Lauf keinen frischen Zufall hinzu, wechselt keine Zugangsdaten, prüft keine Passwortregeln und schützt den Seed nicht, nachdem Sie ihn an Ihre Anwendung übergeben haben. Betrachten Sie das Ergebnis als deterministische Ableitung und nicht als Entropienachweis. Für jedes Mal neue, unabhängige Zugangsdaten verwenden Sie stattdessen einen kryptografisch sicheren Zufalls- oder Diceware-Generator.

Nutzen Sie Wiederholbarkeit ohne versteckte Überraschungen

Eine Seed-basierte Passphrase hilft, wenn Tests, Beispieldaten, Offline-Werkzeuge oder Wiederherstellungsverfahren denselben lesbaren Wert benötigen, ohne ihn direkt auszutauschen. Dokumentieren Sie im Ablauf die genaue Wortanzahl, das Trennzeichen, die Algorithmusversion und die Regeln zur Seed-Verarbeitung. Jede geänderte Eingabe verändert die dargestellte Passphrase. Wird nur das Trennzeichen geändert, bleiben die gewählten Wörter erhalten, aber die endgültige Zeichenfolge ändert sich. Prüfen Sie vor der Verwendung als Zugangsdaten, ob das Zielsystem die Länge und Zeichensetzung akzeptiert. Manche Systeme lehnen Leerzeichen, wiederholte Trennzeichen oder lange Werte ab. Schreiben Sie den Seed nicht in URLs, Analysedaten, Versionsverwaltung, Bildschirmfotos, Supportanfragen oder normale Protokolle. Verwenden Sie bei der Automatisierung das Passphrase-Feld für eine einzelne Zeichenfolge und die Wortliste für strukturierte Bestandteile. Ein API-Aufruf kostet $0.002. Für Regressionstests können Sie einen bekannten, ausdrücklich nicht geheimen Test-Seed festhalten; Produktions-Seeds gehören hingegen weder in den Code noch in die Dokumentation.