Microsoft hat mit seinem Produktschlüssel-Alphabet bereits so etwas getan. Sie wählten eine Untergruppe von Zeichen aus, die unterscheidungskräftig sind, und schlossen Zeichen aus, die entweder zu Verwirrung oder zu beleidigenden Wörtern führen können.

Die 24 verwendeten sind: 2346789BCDFGHJKMPQRTVWXY

Die 12 nicht verwendeten sind: 015AEILNOSUZ

Das Bindestrichzeichen wird zum Trennen von fünf Zeichengruppen verwendet, ist jedoch nicht signifikant.

Produktschlüssel sind zur besseren Lesbarkeit in fünf Zeichengruppen unterteilt, die durch Bindestriche getrennt sind. Das fünfte Zeichen jeder Gruppe dient als unabhängiges Prüfzeichen und stellt nur sicher, dass die Fünfergruppe korrekt eingegeben wurde. (Es handelt sich nur um eine Prüfsumme, die nicht angibt, ob diese Gruppe Teil eines gültigen Kennworts ist oder nicht.)

Dies bezieht sich auf Sie: Wenn Sie Kennwörter generieren, können diese vollständig eindeutig sein ob gesprochen oder getippt. Niemand muss fragen "Oh oder Null?" "Zwei oder Zed?" Es gibt keine Symbole, die die aufgetretenen Schwierigkeiten verursachen können. Darüber hinaus würden Sie sie in Software in Großbuchstaben übersetzen, um Groß- und Kleinschreibung zu vermeiden. Und sie sind allen Sprachen gemeinsam, die das lateinische Alphabet verwenden.

Der Nachteil ist, dass mit nur 24 möglichen Symbolen ein Zeichen nur 4,8 Bit Unvorhersehbarkeit bieten kann. Für eine gleichwertige Sicherheit muss ein Kennwort dreimal länger sein als ein Kennwort, das Groß-, Klein-, Ziffern und Symbole enthalten kann. Fügen Sie dazu weitere 20% für die Häkchen hinzu. Das macht jedes 128-Bit-Passwort zu einer Länge von 35 Zeichen oder sieben Fünfergruppen. (Das Fünf-Gruppen-Schema von Microsoft bietet 96 Bit Unsicherheit.)

Das phonetische Alphabet der ICAO / NATO wird hauptsächlich verwendet, um zwischen Buchstaben zu unterscheiden, die bei der Schreibweise ähnlich klingen, wie d und b . oder n und m . Alle anderen Sonderzeichen können nicht geschrieben werden, sie haben ihre eigenen Namen.

# ist ein Nummernzeichen oder ein Hash-Zeichen, & ist dies ein kaufmännisches Und und so weiter.

Die Notfallkommunikation des australischen Amateurfunkdienstes verfügt über ein Schulungshandbuch, das darüber spricht.

Alphabet-Phonetik: Alpha, Bravo, Charlie, Delta, Echo, Foxtrott, Golf, Hotel, Indien, Julia, Kilo, Lima, Mike, November, Oscar, Papa, Qubec, Romeo, Sierra, Tango, Uniform, Victor, Whisky, Röntgen, Yankee, Zulu.

Phonetik der Ziffern: Null, Wun, Too, Thuh-ree, Fo-wer, Fiy-iv, Sechs, Sieben, Ate, Niner.

Interpunktion : Punkt, Komma, Schrägstrich, Bindestrich, Doppelpunkt, Semikolon, Anführungszeichen, Unquote, offene Klammer, geschlossene Klammer, am Zeichen.

Andere Quellen Listen Sie sogar fast alle benötigten Sonderzeichen auf:

Beim Vorlesen geht es darum, eine Folge von "phonetischen Symbolen" in der richtigen Reihenfolge auszusprechen. Sie möchten, dass diese Symbole bei der Aussprache eindeutig sind. Es kommt also vor, dass wir Menschen ein solches System haben: Es heißt Wörter . Wenn ich einen Satz spreche, besteht er aus vielen Wörtern, die andere Menschen nicht schwer verstehen können, weil ihr Gehirn von Anfang an gut ausgebildet ist, um so etwas zu tun.

Na und Sie möchten ein schönes "Alphabet" von Wörtern, die leicht zu trennen sind, sowie eine Konvention, um die Wörter in die von Ihnen eingegebenen Zeichen umzuwandeln. Die Konvention mit Alpha = A, Bravo = B, Charlie = C ... ist genau das: ein Satz von 26 Symbolen, die jeweils als ein Buchstabe codiert sind. Jedes Symbol, das zufällig in der Liste der 26 generiert wird, ist etwa 4,7 Bit Entropie wert (da 26 fast 2 ^{4,7 sup> entspricht). Generieren Sie also einfach so viele wie nötig, um die entsprechende Entropie für Ihre zu erreichen Zielsicherheitsstufe. 20 Buchstaben sollten für die meisten Zwecke ausreichen, einschließlich des Abschusses von Atomraketen (das sind 94 Bit Entropie; alles über 80 Bit hinaus ist wirklich gut).}

Eine andere ähnliche Methode ist die berühmte was zu Passwörtern wie "recthorsebatterystaple "führt. In diesem Fall haben wir eine "Liste gebräuchlicher Wörter", von der (im Comic) angenommen wird, dass sie 2048 Wörter enthält. Das sind deine Symbole. Jedes ist 11 Bit Entropie wert (weil 2048 = 2 ^{11 sup>), sodass acht Wörter Sie auf das sehr komfortable Niveau von 88 Bit bringen würden. Die Konvention zwischen Symbol und Tastenanschlag lautet dann: Geben Sie das gesamte Wort ein. Solche Passwörter haben den entscheidenden Vorteil, dass sie leicht zu merken sind , einfacher als Folgen zufälliger Buchstaben. Sie implizieren jedoch eine stärkere Tastatureingabe.}

Je länger die Symbolliste ist, desto wahrscheinlicher kann es zu Verwirrung kommen. Zum Beispiel sagen Sie "Batterieheftklammer", aber der Geheimagent am anderen Ende der Leitung versteht "Fledermaus-Tryst-Apfel". Ich würde auch nicht die Idee mögen, dass die nukleare Sicherheit Amerikas von den Rechtschreibfähigkeiten eines Feldagenten abhängt: Er ist bestens darin ausgebildet, feindliche Spione mit bloßen Händen zu enthaupten, aber wird er wissen, dass "Batterie" keine "Batterie" ist "? Es ist nicht so, dass Passworteingabefelder Rechtschreibprüfungen enthalten ...

Ich neige daher dazu zu denken, dass die besten Passwörter, die "vorgelesen" werden können, Folgen von zufälligen Buchstaben sind. Ziffernfolgen könnten ebenfalls verwendet werden: weniger Entropie pro Ziffer (3,32 Bit), aber wir haben jahrzehntelange Erfahrung damit, dass Kunden einigen unterbezahlten Betreibern ihre Kreditkartennummer über eine Telefonleitung vorlesen, und dies funktioniert. Wie bei allen Passwort-Dingen steht in jedem Fall die Zufälligkeit an erster Stelle: Machen Sie jedes Symbol zu einer zufälligen einheitlichen Wahl, unabhängig von den anderen Symbolen, und sammeln Sie so viele wie nötig an, um das Entropieziel zu erreichen.

Die Lösung ist einfach und bereits weit verbreitet: Verwenden Sie keine Sonderzeichen in Passwörtern.

Wenn ein Passwort laut vorgelesen wird, können viele Schritte schief gehen:

• Der Leser muss das Passwort korrekt lesen. Ist das ein ( oder ein [ oder ein {? Ist das ein - oder ein _ ? Ist das ein l oder ein I oder ein 1 ? Ist das ein : oder ein ; ?
• Der Leser muss das Zeichen korrekt aussprechen. Ob Sie es glauben oder nicht, manche Leute glauben nicht, dass "" Klammer "heißt ”.
• Der Hörer muss den Charakternamen verstehen. Das ist das gleiche Problem wie beim Leser. Erinnern Sie mich daran, welches ein Backslash ist? Und was würden Sie eingeben, wenn Sie„ Bindestrich “hören?
• Der Hörer muss das Zeichen auf der Tastatur finden. Umschalt + 3? Stellen Sie sich vor, Sie müssen die Welt vor Deutschland ( § ) oder retten Spanien ( ') oder Frankreich ( 3 )!

Es sind 95 druckbar Zeichen im ASCII-Zeichensatz, was alles ist, was Sie auf einer PC-Tastatur erwarten können. Auf einem Mac oder Mobilgerät können selbst einige ASCII-Zeichen schwer einzugeben sein. (Versuchen Sie, einzugeben | auf einem französischen Mac.) Wenn Sie ein zufälliges Kennwort mit n druckbaren ASCII-Zeichen generieren, gibt es 95 ^{n sup> -Kombinationen. Wenn Sie das Kennwort auf einen kleineren Zeichensatz beschränken, der nur C-Zeichen enthält, müssen Sie das Kennwort verlängern, um möglichst viele Kombinationen (d. H. So viel Entropie) zu erhalten. Es gibt Cm-Passwörter der Länge m, daher müssen Sie Cm ≥ 95 n sup> erreichen, dh m ≥ n × log (95) / log (C). Hier einige Werte für den Multiplikationsfaktor:}

• Verwenden Sie nur Buchstaben beider Fälle und Ziffern: m ≥ 1,103 n. Bis zu n = 9 reicht es aus, ein weiteres Zeichen hinzuzufügen.
• Verwenden Sie nur Buchstaben beider Groß- und Kleinschreibung und Ziffern, ausgenommen l , o , O , 0 und 1 : m ≥ 1,127 n. Jetzt reicht ein weiteres Zeichen bis zu n = 7; Für n = 8 erhalten Sie mit m = 9 eine sehr leichte Verringerung der Stärke.
• Verwenden Sie nur Kleinbuchstaben und Ziffern: m ≥ 1,271 n. Anstelle von 7 beliebigen ASCII-Zeichen benötigen Sie beispielsweise 9 Zeichen mit dieser Einschränkung. Mit n = 8 benötigen Sie m = 11 (oder m = 10, wenn die Stärke geringfügig verringert werden soll).
• Verwenden Sie nur Kleinbuchstaben und Ziffern, ausgenommen l . o , 0 und 1 : m ≥ 1,314 n. Für n = 7 benötigen Sie jetzt m = 10, für n = 8 benötigen Sie noch m = 11.
• Verwenden Sie nur Kleinbuchstaben: m ≥ 1,398 m. Anstelle von 8 beliebigen ASCII-Zeichen benötigen Sie 12 Kleinbuchstaben, um die gleiche Stärke zu erzielen.

In diesem Fall, in dem das Kennwort schnell über das Telefon übermittelt werden muss, würde ich beides wählen die zweite Option oben oder die letzte: gemischte Groß- und Kleinschreibung, aber Vermeidung des verwirrendsten Buchstabens (wobei das Passwort etwa 13% länger sein muss) oder Festhalten an Buchstaben eines Falles (wobei das Passwort etwa 40% länger sein muss).

Viele Systeme schreiben Passwörter vor, die Groß- und Kleinschreibung und Interpunktion enthalten. Dies ist bekanntermaßen kontraproduktiv. Aus Sicherheitsgründen kommt es auf die Entropie an, nicht auf die Auswahl der Zeichen, mit denen diese Entropie codiert wird. Für die Benutzerfreundlichkeit ist die Auswahl der Zeichen relevant, und bis zu einem Punkt (an dem das Kennwort zu lang wird) ist weniger besser.

Die PGP-Wortliste umfasst 2 × 256 Wörter (zwei Sätze werden als Fehlererkennungsmethode verwendet), die sorgfältig ausgewählt wurden, um die phonetische Unterscheidbarkeit zu gewährleisten. Zum Beispiel wird E582 94F2 zum "obersten Istanbuler Pluto-Vagabunden".