03
PASSPHRASE
EFF-Wortliste-Modus
Sechs Wörter = ~77 Bit. Einfach auf Mobilgeräten einzugeben, stark gegen jeden modernen Angreifer.
Passwort-Manager generieren Passwörter innerhalb ihrer Vault-Apps — gut, wenn Sie der Vault vertrauen, aber Sie haben eine vollständige Abonnement für eine Funktion, die eigentlich nur aus 40 Zeilen besteht. Zufallszahlendienste übertragen die Entropie über das Netzwerk. Die Dutzend werbepflichtigen "starken Passwortgeneratoren" nutzen JavaScript auf einer Domain, der Sie nicht vertrauen, und zeigen Banneranzeigen während Ihres Besuchs. Morph ruft crypto.getRandomValues() direkt in Ihrem Tab auf — die native CSPRNG des Browsers, dieselbe Quelle, die Banken und Sicherheitsbibliotheken verwenden — generiert, angezeigt, kopiert, niemals übertragen, niemals geloggt. Kostenlos für alles, was auf Ihrem Gerät läuft; KI wird in Credits bezahlt.
Unterstützt durch /dev/urandom auf Linux, BCryptGenRandom auf Windows, SecRandomCopyBytes auf macOS und iOS. Die gleichen Entropie-Banken und Passwort-Manager nutzen. Math.random() wird niemals aufgerufen — nicht als Fallback, nicht als Standard.
12, 16, 24, 32, benutzerdefiniert. Groß-, Kleinbuchstaben, Ziffern, Symbole. Ähnliche Zeichen (0/O, 1/l/I) werden ausgeschlossen für druckbare Kopien.
Sechs Wörter = ~77 Bit. Einfach auf Mobilgeräten einzugeben, stark gegen jeden modernen Angreifer.
Nicht localStorage, nicht IndexedDB, nicht ein Server. Die Zwischenablage löscht sich automatisch nach 30 Sekunden.
Drei Arten von Fehler: Werbeumhüllte Seiten, die skurilen JavaScript auf Domains ausführen, die Sie nicht vertrauen, und Banneranzeigen gegen Ihren Besuch anbieten; Passwort-Manager-Abonnements, die Generierung in einen $36-$120/Jahr-Tresor einbauen, wenn Sie nur vier Bytes Entropie wollten; Zufallszahlendienste, die Ihre Zufälligkeit über das Netzwerk übertragen – was den gesamten Punkt der clientseitigen Generierung zunichte macht. Morph generiert das Passwort in Ihrem Browser-Tab mit dem W3C-spezifischen CSPRNG, zeigt es einmal an und vergisst es, sobald Sie die Seite schließen. Kein Tresor, keine Synchronisation, keine Telemetrie. Wenn Sie auch einen Tresor wollen, führen Sie einen Tresor aus. Wenn Sie nur ein starkes Passwort wollten, ist dies die Oberfläche.
Wenn Sie eine Cross-Device-Passwort-Synchronisation, Breach-Monitoring, Autofill in Ihrem Browser und geteilte Tresore für ein Team benötigen, führen Sie einen Passwortmanager. Das sind vollständige Tresor-Produkte, und Morph versucht nicht, sie zu ersetzen. Morph ist die starke-bytes-on-demand-Oberfläche für die Zeiten, in denen Sie keinen Tresor benötigen — ein Router-Admin-Passwort, ein einziges WPA2-Key für das AirBnB-Wi-Fi, ein temporärer Anmeldung, die Sie nächste Woche löschen. CSPRNG, in Ihrem Tab, verschwunden, wenn Sie es schließen.
Das sind vollständige Passwort-Manager-Abonnements mit Vaults, Sync, Autofill und Breach Monitoring. Morph ist nur die Oberfläche für die Generierung – crypto.getRandomValues() in Ihrem Tab, einmal angezeigt, nie gespeichert. Wenn Sie einen Vault benötigen, führen Sie einen Vault aus. Wenn Sie Bytes sofort benötigen, führen Sie Morph aus.
Ja. crypto.getRandomValues() ist die CSPRNG der W3C Web Cryptography API — unterstützt von /dev/urandom unter Linux, BCryptGenRandom unter Windows und SecRandomCopyBytes unter macOS/iOS. Derselbe Quellcode, den Banken, Passwort-Manager und kryptografische Bibliotheken verwenden. Math.random() ist NICHT kryptografisch sicher; Morph fällt nie darauf zurück.
16 Zeichen mit dem vollen 95-Symbol-Alphabet liefern ~105 Bit Entropie – über den aktuellen Brute-Force-Grenzen, selbst mit Offline-GPU-Clustern. 12 Zeichen ist das moderne Minimum (~78 Bit). 24+ ist paranoid-sicher. Die Länge ist wichtiger als Komplexitätsregeln – "horse battery staple correct" ist stärker als "P@ssw0rd!1" gegen jeden realen Angreifer.
Ja. Der Passphrase-Modus wählt N Wörter aus der EFF langen Wortliste (7.776 Wörter = 12,9 Bits pro Wort). Sechs Wörter ergeben ~77 Bits Entropie — stark genug für jeden modernen Angriff und einfach auf Mobilgeräten einzugeben. Die Wortliste ist in der Seite enthalten; keine Serverabfrage.
Ja – Safari auf iOS unterstützt crypto.getRandomValues() vollständig. Generieren, kopieren, einfügen in Ihren Passwortmanager oder Anmeldeformular. Der gesamte Prozess läuft lokal auf Ihrem Handy, berührt niemals einen Server.
Nirgendwo. Nicht in localStorage, nicht in sessionStorage, nicht in IndexedDB, nicht auf einem Server. Das Passwort bleibt im Browser-Speicher, bis Sie den Tab schließen oder die Generierung neu starten. Die Zwischenablage löscht sich automatisch nach 30 Sekunden. Morph kann es nicht wiederherstellen, weil es es nie hatte.