QoinSo entsteht die Einschätzung der Stärke
Die Schätzung geht von einem Angreifer aus, der offline alle Kombinationen mit 10 Milliarden Versuchen pro Sekunde durchprobiert, ein grober Richtwert für einen schnellen Hash auf aktuellen Grafikkarten. Die Zahl der Kombinationen ist die Größe des Alphabets hoch der Länge: 16 Zeichen aus den 83 Symbolen dieses Generators ergeben rund 5 × 10³⁰ Möglichkeiten, etwa 16 Billionen Jahre bei diesem Tempo. Deshalb zählt Länge mehr als Komplexität: vier zusätzliche Zeichen vervielfachen den Aufwand etwa um das 47-Millionenfache, eingeschaltete Sonderzeichen etwa um das Hundertfache. Die Stufen sind Faustregeln allein für Brute Force: Weak fällt in unter einer Woche, Strong hält bis zu einem Jahr, Very strong bis zu zehn Jahren, Uber strong länger. Ein Passwort, das auf mehreren Seiten verwendet wird oder bereits geleakt ist, ist bei jeder Länge schwach.
Der Satz Sonderzeichen enthält keine Anführungszeichen, Kommas, Punkte, Semikolons, Backslashes und keinen senkrechten Strich, damit sich ein Passwort sauber in Formulare, Konfigurationsdateien und die Kommandozeile einfügen lässt. Easy to read lässt i, I, l, L, 1, o, O und 0 weg, für Passwörter, die Sie abtippen oder vorlesen müssen. Jedes Passwort enthält mindestens ein Zeichen aus jedem eingeschalteten Satz. Alles läuft im Browser mit dem kryptografischen Zufallsgenerator; nichts wird gesendet oder gespeichert, und aufgehoben ist das Ergebnis am besten in einem Passwort-Manager.