Erzeugen Sie kryptografisch starke Zufalls-Tokens, API-Schlüssel, Geheimnisse und Nonces in Ihrem Browser. Wählen Sie Länge, Zeichensatz und wie viele erzeugt werden sollen.
Zufällige, unberechenbare Tokens. Der gesamte Zufall stammt aus crypto.getRandomValues des Browsers, derselben Quelle, die Browser für TLS-Schlüssel verwenden. Nichts verlässt Ihr Gerät.
Die meisten Sprachen liefern zwei sehr verschiedene Zufallszahlengeneratoren. Math.random(), rand() und Kollegen sind schnelle Pseudozufallsgeneratoren, die aus etwas Billigem wie der Uhr gesät werden. Sie sind in Ordnung, um eine Playlist zu mischen, und desaströs für einen Token, weil ein Angreifer, der ein paar Ausgaben beobachtet, oft den internen Zustand wiederherstellen und jeden Wert reproduzieren kann, den der Generator jemals ausspucken wird.
Ein kryptografisch sicherer Generator ist so gebaut, dass das Sehen vergangener Ausgabe nichts über zukünftige Ausgabe verrät. Im Browser ist das crypto.getRandomValues(), das aus dem Entropie-Pool des Betriebssystems zieht. Dieses Werkzeug verwendet ausschließlich ihn. Wenn Sie in Ihrem eigenen Code Tokens erzeugen, sind die Entsprechungen secrets in Python, crypto/rand in Go und java.security.SecureRandom in Java — niemals das einfache random-Modul oder Math.random().
Gute Zufallsbytes zu haben ist nur die halbe Arbeit. Die naive Art, ein Zeichen zu wählen, ist bytes[i] % alphabet.length, was das Ergebnis leise verzerrt, sobald die Alphabetgröße 256 nicht sauber teilt. Bei einem 62-Zeichen-Alphabet kommen die ersten 8 Zeichen etwas häufiger vor als der Rest — ein kleiner Bias, aber er verringert echte Entropie und ist vollständig vermeidbar.
Die Lösung ist Rückweisungs-Stichproben (Rejection Sampling): verwerfen Sie jedes Byte, das in den unvollständigen letzten Block fällt, und ziehen Sie neu. Dieses Werkzeug tut das, sodass jedes Zeichen im gewählten Alphabet gleichermaßen wahrscheinlich ist.
Die Entropie ist log2(alphabet_größe) * länge Bit. Ein 62-Zeichen-Alphabet liefert etwa 5,95 Bit pro Zeichen, sodass ein 22-stelliger Token etwa 131 Bit trägt — bequem jenseits von Brute-Force. Für alles, was echten Zugriff schützt, ist 128 Bit die übliche Untergrenze; unter etwa 64 Bit wird ein entschlossener Angreifer mit einem schnellen Endpunkt zu einem echten Problem.
Die Alphabetwahl geht meist darum, wo der Token reist. Base64url und Hex überleben URLs, Dateinamen und Header unverändert. Das eindeutige Alphabet lässt Zeichen wie 0/O und 1/l/I weg und lohnt sich für alles, was ein Mensch laut vorliest oder vom Bildschirm abtippt.