Kort uitgelegd
Wachtwoordentropie schat in bits hoeveel kandidaten een zoekactie binnen een gekozen model mogelijk moet onderzoeken. Voor een uniform willekeurig wachtwoord met lengte L uit een alfabet van N even waarschijnlijke tekens is de eenvoudige schatting L × log₂(N). (NIST-definitie van entropie)
Waarom is willekeur belangrijk?
De formule gaat ervan uit dat elk teken onafhankelijk en met een gelijke kans is gekozen. Door mensen gekozen wachtwoorden volgen vaak woorden, datums, toetsenbordpatronen of hergebruikte zinnen. Daardoor kunnen ze veel makkelijker te raden zijn dan een eenvoudige berekening op basis van de tekenset doet vermoeden. De huidige NIST-richtlijnen voor digitale identiteit raden willekeurige eisen aan de tekensamenstelling af en leggen de nadruk op andere beschermingsmaatregelen. (NIST SP 800-63B-4)
Vertelt entropie hoelang het duurt om een wachtwoord te kraken?
Niet op zichzelf. Een tijdschatting vereist ook aannames over het aantal pogingen per tijdseenheid, de wachtwoordhashing, de hardware van de aanvaller en blootstelling door een datalek. Limieten op online inlogpogingen en het offline kraken van hashes zijn verschillende situaties.
Hoe gebruik je een entropiecalculator?
Beschouw het resultaat als een leerzame schatting, niet als een gegarandeerde goed- of afkeuring. Kies bij voorkeur lange, unieke wachtwoorden die willekeurig zijn gegenereerd en in een wachtwoordmanager worden bewaard; gebruik multifactorauthenticatie waar die beschikbaar is. (Probeer de entropiecalculator met een verzonnen wachtwoord)