100 Passwortfelder — die Speicherung ändert mehr als die Länge
Entropie-Bits und Knackdauer für jede Begegnung von 10 Zeichensätzen und 10 Längen. Die Geschwindigkeiten sind nicht erfunden, sondern veröffentlichte hashcat-Messungen auf einer einzelnen RTX 4090.
volles ASCII mit Sonderzeichen 12 · 78.7 bit
- NTLM (Windows)26136.9 Jahre
- MD545950.7 Jahre
- SHA-256343132.2 Jahre
- WPA2 Wi-Fi10^9.5 Jahre
- bcrypt10^10.6 Jahre
Was ein Zeichen trägt
Was ein Zeichen trägt, ist der Logarithmus des Zeichenvorrats: 3,3 Bit bei nur Ziffern, 4,7 mit Kleinbuchstaben, 6,6 bei den 94 druckbaren ASCII-Zeichen. Die Gesamtstärke ist das mal Länge — darum schlägt mehr Länge meist mehr Vielfalt: ein weiteres ASCII-Zeichen bringt 6,6 Bit, der Sprung von Kleinbuchstaben zu vollem ASCII nur 1,9 Bit je Zeichen.
Wie die Seite es gespeichert hat
Dasselbe Passwort unterscheidet sich um den Faktor Million, je nach Speicherung. Eine RTX 4090 probiert 288,5 Milliarden NTLM-Hashes pro Sekunde und 164,1 Milliarden MD5, aber nur 184 Tausend bcrypt — bcrypt ist absichtlich langsam. Acht ASCII-Zeichen mit Symbolen fallen bei NTLM in unter drei Stunden und halten bei bcrypt über 500 Jahre. Wer das Passwort tippt, kann sich das nicht aussuchen.
Eine Hangul-Silbe zählt wie zwei ASCII-Zeichen
Der Standard-Hangul-Block umfasst 2.350 Silben. Zählt man eine ganze Silbe als ein Zeichen, trägt sie 11,2 Bit — das 1,7-Fache eines ASCII-Zeichens. Acht Hangul-Silben schlagen daher dreizehn ASCII-Zeichen und bleiben unter vierzehn. Der Haken: viele Systeme lehnen sie ab, und ohne Eingabemethode lassen sie sich gar nicht tippen.
Was diese Tabelle zählt und was nicht
Die Zeiten hier gelten für ein **zufällig gewähltes** Passwort, das komplett durchsucht wird. Menschgemachte Passwörter halten so lange nicht — Wörterbuchwörter, Tastaturreihen, Geburtstage und das angehängte ! oder 1 werden zuerst probiert. „P@ssw0rd!“ zählt als 59 Bit bei neun ASCII-Zeichen, fällt aber in Sekunden. Umgekehrt teilt sich die Zeit durch die Zahl der Karten.
Der häufigste Unfall ist nicht das Knacken
Weit häufiger ist, dass ein anderswo geleaktes Passwort einfach hier probiert wird. Ein Passwort, das Jahre bräuchte, fällt trotzdem an dem Tag, an dem die schwächere Seite gehackt wird — sofern es dort auch stand. Nicht wiederverwenden und zweiter Faktor kommen vor mehr Länge.
Nach Zeichenvorrat und Länge suchen
Zeichenvorrat · Länge
nur ZiffernZeichenvorrat 10
hexadezimalZeichenvorrat 16
nur KleinbuchstabenZeichenvorrat 26
Base32Zeichenvorrat 32
Kleinbuchstaben + ZiffernZeichenvorrat 36
Groß- und KleinbuchstabenZeichenvorrat 52
Buchstaben + ZiffernZeichenvorrat 62
Base64Zeichenvorrat 64
volles ASCII mit SonderzeichenZeichenvorrat 94
Hangul-SilbenZeichenvorrat 2350
So liest man das
- Bits pro Zeichen = log2(Zeichenvorrat). Mal Länge ergibt die Summe.
- Knackdauer = halbe Kombinationszahl ÷ Versuche pro Sekunde.
- Die Geschwindigkeiten sind veröffentlichte hashcat-Messungen auf einer RTX 4090.
- Sie gelten für zufällige Passwörter. Menschgemachte fallen viel früher.
- NTLM (Windows)2.89e+11 /s
- MD51.64e+11 /s
- SHA-2562.20e+10 /s
- WPA2 Wi-Fi2.53e+6 /s
- bcrypt1.84e+5 /s
Häufige Fragen
Q. Wie lang sollte ein Passwort sein?
Das hängt von der Speicherung ab. Zwölf ASCII-Zeichen mit Symbolen sind 78,7 Bit: 26.000 Jahre bei NTLM, 41 Milliarden bei bcrypt. Mit acht Zeichen fällt NTLM in unter drei Stunden.
Q. Mehr Länge oder mehr Sonderzeichen?
Meist Länge. Ein ASCII-Zeichen mehr bringt 6,6 Bit; der Sprung von Kleinbuchstaben zu vollem ASCII nur 1,9 Bit je Zeichen.
Q. Ist Hangul stärker?
Jede Silbe trägt 11,2 Bit, das 1,7-Fache eines ASCII-Zeichens. Nur akzeptieren das wenige Systeme, und ohne Eingabemethode geht es gar nicht.
Q. Sind diese Zeiten echt?
Sie gelten für zufällige Passwörter, komplett durchsucht. Menschgemachte fallen Wörterbuchangriffen viel früher zum Opfer.
Q. Was zählt am meisten?
Nicht wiederverwenden. Ein geleaktes Passwort woanders auszuprobieren ist weit häufiger als echtes Knacken.