Sicherheitsleitfaden

Was ist die Web Crypto API?

Erfahren Sie, wie die Web Crypto API die browserlokale Generierung zufälliger Passwörter unterstützt und warum sie sich von gewöhnlicher JavaScript-Zufälligkeit unterscheidet.

Zusammenfassung

Die Web Crypto API ist ein Browserstandard für kryptografische Operationen. Für die Passwortgeneration ist die wichtigste Funktion crypto.getRandomValues(), die Webseiten Zugriff auf kryptografisch starke Zufallswerte gibt, die zur Auswahl von Passwortzeichen geeignet sind.

Warum es für Passwörter wichtig ist

Passwörter benötigen Unvorhersagbarkeit. Gewöhnliche JavaScript-Zufälligkeit wurde nicht für Geheimnisse entwickelt. Web Crypto existiert, damit Browser über eine standardisierte API sicherere kryptografische Primitive bereitstellen können. PwdGen verwendet diese API für begrenzte Zufallsauswahl und vermeidet Math.random() für die Passwortgeneration.

Betriebssystemgrenze

Web Crypto bedeutet nicht, dass eine Seite die Hardware-Entropiequelle direkt steuert. Browser verlassen sich typischerweise auf das Betriebssystem und den plattformspezifischen Kryptografieanbieter. Eine sorgfältige Methodik sollte sagen, dass Web Crypto CSPRNG-Ausgabe liefert, nicht dass jeder Aufruf physikalisches Rauschen von der CPU liest.

Wie PwdGen es verwendet

PwdGen fordert 32-Bit-Zufalls-Ganzzahlen an, verwendet Zurückweisungsabtastung, um Modulo-Bias zu vermeiden, ordnet akzeptierte Werte Zeichenindizes zu und mischt erforderliche Zeichenklassen. Dies hält die Implementierung klein und überprüfbar.

Detaillierte Anleitung

Dieser Leitfaden konzentriert sich darauf, die Web Crypto API als Browser-Sicherheitsprimitive zu verstehen. Er ist für Benutzer und Entwickler geschrieben, die wissen möchten, warum Browser-Zufälligkeit wichtig ist. Das praktische Ziel ist es, keine dramatische Sicherheitsbehauptung aufzustellen. Das Ziel ist es, eine Passwortgewohnheit zu wählen, die den Alltag übersteht: Anmeldeformulare, Passwortmanager, mobile Tastaturen, Kontowiederherstellung, gemeinsam genutzte Geräte und gelegentliche Dienste mit seltsamen Validierungsregeln. Eine sichere Empfehlung ist nur nützlich, wenn eine reale Person sie konsequent befolgen kann.

Der sicherste Ausgangspunkt ist Zufälligkeit plus Einzigartigkeit. Zufälligkeit bedeutet, dass der Wert aus einem großen Raum von einer kryptografisch geeigneten Zufallsquelle ausgewählt wird, nicht von einem Geburtstag, einem Haustiernamen, einem Tastaturmuster oder einem Lieblingszitat erfunden. Einzigartigkeit bedeutet, dass dasselbe Passwort nirgendwo anders verwendet wird. Ein Passwort, das lang, aber wiederverwendet ist, kann schnell nach einem einzigen unabhängigen Datenleck versagen, während ein einzigartiges, zufälliges Passwort den Schaden auf das einzelne Konto begrenzt, in dem es verwendet wurde.

Für dieses Thema ist eine praktische Voreinstellung modernes Chrome, Edge, Safari und Firefox mit verfügbarem crypto.getRandomValues. Sie können diese Voreinstellung mit der Browser-Support-Seite anwenden und dann den endgültigen Wert in einem vertrauenswürdigen Passwortmanager speichern. PwdGen generiert Werte lokal im Browser mit Web Crypto; das generierte Passwort wird nicht an einen PwdGen-Server gesendet. Dieses lokale Design reduziert die Exposition auf Serverseite, schützt jedoch nicht vor jeder Bedrohung. Eine bösartige Browsererweiterung, ein kompromittiertes Gerät, eine Phishing-Seite oder unsichere Zwischenablagebehandlung können ein Geheimnis nach der Generierung dennoch offenlegen.

Die häufigsten zu vermeidenden Probleme sind alte Browser, unsichere Kontexte, Polyfills, die stillschweigend Math.random verwenden, und die Verwechslung von Kodierung mit Verschlüsselung. Diese Probleme sind wichtig, weil Angreifer selten jedes mögliche Passwort brute-forcen müssen, wenn menschliche Gewohnheiten ihnen eine Abkürzung bieten. Credential Stuffing, Phishing, durchgesickerte Passwortlisten und Missbrauch der Kontowiederherstellung sind oft realistischer als eine reine mathematische Suche. Deshalb kombiniert der beste Rat Passwortqualität mit Kontrollen auf Kontenebene wie MFA, Passkeys, Wiederherstellungscode-Speicherung und regelmäßige Überprüfung der Wiederherstellungs-E-Mail- oder Telefoneinstellungen.

Verwenden Sie diese Checkliste bei der Anwendung der Empfehlung:

• Verwenden Sie einen modernen Browser.
• Vermeiden Sie Tools, die ihre eigene Zufallsquelle implementieren.
• Verstehen Sie, dass Web Crypto keine Malware behebt.
• Lesen Sie die Methodik, bevor Sie einem Generator vertrauen.

Wenn eine Website die ideale Einstellung ablehnt, erzwingen Sie das Passwort nicht von Hand in ein schwächeres Muster. Passen Sie jeweils eine Variable an. Wenn Symbole abgelehnt werden, behalten Sie Großbuchstaben, Kleinbuchstaben und Zahlen bei und erhöhen Sie die Länge. Wenn eine maximale Länge niedrig ist, verwenden Sie die größte akzeptierte Länge und stellen Sie sicher, dass der Wert einzigartig ist. Wenn ein Passwort laut vorgelesen, ausgedruckt oder auf einem Fernseh- oder Router-Bildschirm eingegeben werden muss, erwägen Sie, verwirrende Zeichen auszuschließen und die Länge zu erhöhen, um das kleinere Alphabet auszugleichen.

Denken Sie schließlich an die Grenzen von Passwort-Ratschlägen. Ein starkes Passwort ist eine Verteidigungsschicht, keine Garantie. Es kann keine Phishing-Seite sicher machen, Malware beheben oder einen Dienst kompensieren, der Anmeldeinformationen schlecht speichert. Die nützliche Gewohnheit ist langweilig, aber beständig: Generieren Sie einen einzigartigen Wert, speichern Sie ihn sicher, schützen Sie den Wiederherstellungspfad und ersetzen Sie ihn schnell, wenn Sie eine Offenlegung vermuten.

Ein sicherer nächster Schritt

Führen Sie nach dem Lesen dieses Leitfadens eine kleine Kontoüberprüfung durch, anstatt alles auf einmal zu reparieren. Wählen Sie das Konto, das die meisten Probleme verursachen würde, wenn es übernommen würde, bestätigen Sie, dass sein Passwort einzigartig ist, und überprüfen Sie die Wiederherstellungs-E-Mail, das Wiederherstellungstelefon, die MFA-Methode und die Speicherung von Backup-Codes. Wenn ein Teil dieser Kette schwach ist, verbessern Sie diesen Teil, bevor Sie zu Konten mit geringerem Risiko übergehen. Diese Reihenfolge hält die Arbeit überschaubar und schützt die Konten, die Angreifer am wahrscheinlichsten als Sprungbrett nutzen. Für “Was ist die Web Crypto API?” ist das beste Ergebnis eine wiederholbare Gewohnheit: lokal generieren, sorgfältig speichern und Wiederverwendung vermeiden.

Häufig gestellte Fragen

Welchen Teil von Web Crypto verwendet PwdGen?

PwdGen verwendet crypto.getRandomValues(), um kryptografisch starke Zufallswerte vom Browser anzufordern.

Bedeutet Web Crypto, dass jedes Byte direkt von der Hardware kommt?

Nein. Browser verwenden im Allgemeinen kryptografische Anbieter des Betriebssystems, die mit hochwertiger Entropie gespeist werden; Browser und Betriebssystem wählen die Implementierung.

Ist Web Crypto in allen Browsern verfügbar?

Es ist in modernen Browsern verfügbar. Wenn es fehlt, deaktiviert PwdGen die Generierung, anstatt auf unsichere Zufälligkeit zurückzugreifen.