Dieses Papier stellt die Erwartungsentropie vor, eine neuartige Metrik zur Abschätzung der Stärke von zufälligen oder zufallsähnlichen Passwörtern. Die Motivation ergibt sich aus einer praktischen Lücke in bestehenden Werkzeugen zur Passwortstärkebewertung. Klassische, auf Kombinatorik basierende Formeln (z.B. $\log_2(\text{Zeichenraum}^{\text{Länge}})$) liefern Ergebnisse in der Größenordnung von Dutzenden Bits, während die industrieübliche NIST-Entropie-Schätzbibliothek einen normalisierten Min-Entropie-Wert zwischen 0 und 1 ausgibt. Diese Diskrepanz erschwert einen direkten Vergleich und eine intuitive Interpretation. Die Erwartungsentropie schließt diese Lücke, indem sie eine Stärkeabschätzung auf derselben 0-1-Skala wie das NIST-Werkzeug liefert, wobei ein Wert von z.B. 0,4 anzeigt, dass ein Angreifer mindestens 40 % aller möglichen Versuche durchsuchen muss, um das Passwort zu finden.
Die Arbeit ist im Kontext des "PHY2APP"-Projekts angesiedelt, das sich auf die Erzeugung starker symmetrischer Passwörter für die Wi-Fi-Gerätebereitstellung (ComPass-Protokoll) mithilfe von Physical-Layer-Security-Methoden konzentriert und den Bedarf an einer robusten, skalierbaren Stärkemetrik hervorhebt.
Entropie misst Unordnung, Zufälligkeit oder Unsicherheit. Unterschiedliche Definitionen lassen sich unterschiedlich auf die Passwortstärke anwenden.
Definiert als $H_{\infty} = -\log_2(\max(p_i))$, wobei $p_i$ die Wahrscheinlichkeit eines Elements ist. Sie repräsentiert den Worst-Case und misst die Schwierigkeit, das wahrscheinlichste Ergebnis zu erraten. Dies ist die Grundlage für die Ausgabe der NIST-Bibliothek.
Definiert als $H_1 = -\sum_{i=1}^{N} p_i \log_2 p_i$. Sie liefert ein durchschnittliches Maß für den Informationsgehalt, wird aber dafür kritisiert, dass sie im Kontext des Passwortknackens keinen Bezug zur tatsächlichen Ratschwierigkeit hat, da sie die Passwortlänge und die optimale Strategie eines Angreifers ignoriert.
Definiert als $H_0 = \log_2 N$, misst sie nur die Größe der Verteilung (Alphabetgröße) und ignoriert Zeichenwahrscheinlichkeiten vollständig.
Definiert als $G = \sum_{i=1}^{N} p_i \cdot i$, wobei die Rateversuche nach absteigender Wahrscheinlichkeit geordnet sind. Dies misst die erwartete Anzahl von Versuchen, die ein optimaler Angreifer benötigt. Sie steht in direkterem Zusammenhang mit der praktischen Knackzeit, ist aber nicht normalisiert.
Die Erwartungsentropie baut auf dem Konzept der Raten-Entropie auf, ist jedoch auf eine [0, 1]-Skala normalisiert. Die Kernidee ist, die Stärke aus der Zusammensetzung eines einzelnen Passworts abzuschätzen. Sie berücksichtigt disjunkte Zeichensätze: Kleinbuchstaben $L$ (|L|=26), Großbuchstaben $U$ (26), Ziffern $D$ (10) und Sonderzeichen $S$ (32), die für das englische Alphabet einen Gesamtzeichenraum $K$ der Größe 94 bilden.
Während die vollständige mathematische Herleitung für ein einzelnes Passwort im bereitgestellten Auszug impliziert, aber nicht vollständig explizit ist, normalisiert die Metrik im Wesentlichen den Aufwand, den ein optimaler Angreifer relativ zum gesamten Suchraum benötigt. Wenn $G$ die Raten-Entropie und $N$ die Gesamtzahl möglicher Passwörter ist (z.B. $94^{\text{Länge}}$ für den vollen Raum), könnte eine normalisierte Form konzeptionell mit $E \approx G / N_{eff}$ in Beziehung stehen, wobei $N_{eff}$ eine effektive Suchraumgröße unter Berücksichtigung der Passwortzusammensetzung ist.
Die entscheidende Innovation ist ihre interpretierbare Skala. Ein Erwartungsentropie-Wert von $\alpha$ (wobei $0 \le \alpha \le 1$) bedeutet, dass ein Angreifer mindestens einen Bruchteil $\alpha$ der insgesamt erforderlichen Rateversuche (in optimaler Reihenfolge) durchführen muss, um das Passwort zu knacken. Ein Wert von 1 weist auf ideale Zufälligkeit hin, bei der der Angreifer eine vollständige Brute-Force-Suche durchführen muss. Dies steht intuitiv im Einklang mit der NIST-Min-Entropie-Skala und erleichtert Systemdesignern den Vergleich und die Entscheidungsfindung.
Kernaussage: Reaz und Wunder schlagen nicht einfach eine weitere Entropiemetrik vor; sie versuchen, eine kritische Lücke in der Usability und Interpretierbarkeit im Security Engineering zu schließen. Das eigentliche Problem ist nicht ein Mangel an Komplexitätsmaßen, sondern die kognitive Reibung, wenn ein kombinatorisches Werkzeug "80 Bit!" schreit und NIST "0,7" flüstert. Die Erwartungsentropie ist ein pragmatischer Übersetzer, der kryptografische Stärke in einen handlungsorientierten, probabilistischen Risikoscore auf einem einheitlichen Dashboard umwandelt.
Logischer Ablauf: Das Argument ist elegant einfach: 1) Bestehende Metriken existieren auf verschiedenen Planeten (Bits vs. normalisierte Scores), was Verwirrung stiftet. 2) Die Raten-Entropie ($G$) ist näher an der Realität eines Angreifers, ist aber nicht begrenzt. 3) Daher wird $G$ relativ zum effektiven Suchraum normalisiert, um einen 0-1-Score zu schaffen, der direkt auf den prozentualen Aufwand eines Angreifers abbildet. Dies überbrückt das Theoretische (NISTs Min-Entropie) und das Praktische (Arbeitsaufwand eines Passwortknackers).
Stärken & Schwächen: Die Stärke liegt in ihrer eleganten Einfachheit und unmittelbaren Interpretierbarkeit – ein Segen für Entscheidungsträger und Systemarchitekten. Der Teufel steckt jedoch in den Verteilungsannahmen. Die Genauigkeit der Metrik hängt stark von einer korrekten Modellierung der Wahrscheinlichkeitsverteilung $p_i$ der Zeichen innerhalb einer einzelnen Passwortstichprobe ab, was ein notorisch schwieriges statistisches Problem ist. Im Gegensatz zur NIST-Bibliothek, die lange Bitströme testet, erfordert die Anwendung auf ein kurzes 16-stelliges Passwort robuste Schätzer, die gegenüber Verzerrungen empfindlich sein können. Das Papier beschreibt, dem Auszug nach, diesen Schätzprozess für eine einzelne Instanz nicht vollständig, was seine Achillesferse ist.
Umsetzbare Erkenntnisse: Für Sicherheitsteams könnte diese Metrik in Passworterstellungs-APIs oder Active-Directory-Plugins integriert werden, um eine intuitive Echtzeit-Feedback zur Stärke zu geben ("Ihr Passwort erfordert 60 % der Rateversuche zum Knacken"). Für Forscher muss der nächste Schritt eine rigorose, groß angelegte empirische Validierung gegen reale Knackwerkzeuge (wie Hashcat oder John the Ripper) sein, um das Modell zu kalibrieren. Bedeutet eine Erwartungsentropie von 0,8 wirklich 80 % des Suchraums? Dies muss gegen adversarische KI-Modelle bewiesen werden, ähnlich wie GANs in anderen Sicherheitsdomänen eingesetzt werden. Das Konzept ist vielversprechend, aber seine operative Nützlichkeit hängt von einer transparenten, peer-reviewten Validierung jenseits der kontrollierten Umgebung maschinell erzeugter Passwörter ab.
Basierend auf den skizzierten Konzepten kann die Erwartungsentropie $H_E$ für ein Passwort konzeptionell gerahmt werden. Ein Passwort der Länge $l$ sei aus einem Alphabet $\mathcal{A}$ mit einer zugehörigen Wahrscheinlichkeitsverteilung für jede Zeichenposition gezogen (die aus dem Passwort selbst oder einem Referenzkorpus geschätzt werden kann).
Der präzise, effiziente Algorithmus zur Schätzung dieses Werts aus einer einzelnen Stichprobe ist der implizierte Kernbeitrag der Autoren.
Hinweis: Der bereitgestellte PDF-Auszug enthält keine spezifischen experimentellen Ergebnisse oder Diagramme. Die folgende Beschreibung basiert auf dem, was eine typische Validierungsstudie für eine solche Metrik umfassen würde.
Eine umfassende Bewertung der Erwartungsentropie würde wahrscheinlich die folgenden Diagramme umfassen:
Das zu validierende Hauptergebnis ist die Behauptung: "Eine Erwartungsentropie von einem bestimmten Wert, zum Beispiel 0,4, bedeutet, dass ein Angreifer mindestens 40 % der Gesamtzahl der Rateversuche erschöpfend durchsuchen muss." Dies erfordert empirische Angriffssimulationen.
Szenario: Bewertung zweier 12-stelliger Passwörter für ein System, das den 94-stelligen druckbaren ASCII-Zeichenraum verwendet.
Summer2024!k9$Lp@2W#r1ZKlassische Bit-Stärke: Beide haben die gleiche theoretische Maximalstärke: $\log_2(94^{12}) \approx 78,7$ Bit.
Erwartungsentropie-Analyse:
Dieses Beispiel zeigt, wie die Erwartungsentropie eine differenziertere und realistischere Risikobewertung liefert als die identische Bit-Stärke aus der klassischen Formel.
Unmittelbare Anwendungen:
Zukünftige Forschungsrichtungen: