La generazione prevedibile delle credenziali è una debolezza in cui password, token, ID di sessione, codici di reimpostazione o altri valori di accesso vengono creati con una casualità troppo ridotta. Se un attaccante riesce a stimare il modello, può indovinare credenziali valide invece di sottrarle direttamente. Si tratta di una forma di fallimento di sicurezza a bassa entropia.
È importante perché l'autenticazione dipende dal fatto che i segreti siano difficili da prevedere. In pratica, gli attaccanti cercano contatori riutilizzati, timestamp, numeri di serie dei dispositivi o generatori di numeri pseudo-casuali deboli che producono valori indovinabili. Se riescono, possono bypassare l'accesso, dirottare una sessione o accedere a funzioni amministrative senza dover forzare una password forte. I difensori riducono questo rischio usando generatori di numeri casuali crittograficamente sicuri, evitando segreti derivati e verificando che token e codici siano unici, non indovinabili e abbastanza lunghi da resistere all'enumerazione.