Jak používat

Napište nebo vložte heslo do pole. Ve výchozím nastavení je skryté; pomocí tlačítka „Zobrazit“ zkontrolujte, co jste napsali.
Přečtěte si štítek síly, údaje o entropii a hrubý odhad času prolomení.
Podívejte se na nalezené vzory a řiďte se tipy, jak heslo učinit hůře uhodnutelným.

Jak to funguje

Kontrola začíná entropií znakové sady: počet možných znaků (26 malých písmen, 26 velkých písmen, 10 číslic, 33 symbolů ASCII včetně mezery a 100 pro jakýkoli jiný znak, např. písmena s diakritikou nebo emoji) umocněný délkou hesla, vyjádřený v bitech jako log2(sada) × délka. Tento údaj předpokládá, že každý znak byl vybrán náhodně, což u hesel vytvářených lidmi platí jen zřídka.

Poté hledá vzory, které útočníci zkoušejí jako první, a každé odpovídající části započítá pouze bity potřebné k uhodnutí daného vzoru: vestavěný seznam 1 000 nejčastějších hesel, přibližně 3 000 běžných anglických slov a 600 častých křestních jmen (také po odstranění leetspeaku, např. 4→a, 3→e, 0→o, $→s), běhy po klávesnici jako qwerty a asdf, posloupnosti jako abc nebo 4321, opakované znaky nebo bloky, roky 1900–2099 a data jako 12/05/1990 nebo 19900512. Výsledkem je „odhad po zohlednění vzorů“. Metoda se podobá open-source odhadu zxcvbn, ale je jednodušší.

Doba prolomení předpokládá 10 miliard pokusů za sekundu, což zhruba odpovídá výkonu několika moderních grafických karet proti rychlému hashi bez soli, jako je MD5 nebo SHA-1, při offline útoku, a že průměrně je třeba vyzkoušet polovinu zbývajících možností. Online útoky na přihlašovací formulář jsou daleko pomalejší; správně nakonfigurované pomalé hashe jsou rovněž mnohem pomalejší. Berte údaj jako řádový odhad, nikoli záruku. Kontrola neví, zda se vaše heslo objevilo v úniku dat.

Příklady

Typické „silně vypadající“ heslo

„Summer2023!“ má 11 znaků a všechny čtyři typy znaků, takže entropie znakové sady je přibližně 72 bitů. Kontrola najde slovo „Summer“ a rok 2023 a odhad klesne zhruba na 22 bitů: velmi slabé, uhodnutelné offline za výrazně méně než sekundu.

Leetspeak nepomáhá

„P@55w0rd“ je rozpoznáno jako „password“ se záměnami znaků, což je jedno z nejčastějších hesel. Je hodnoceno jako velmi slabé bez ohledu na to, kolik obsahuje symbolů.

Náhodné heslo

Heslo o 16 znacích z generátoru, například „v7#Qm!2pXr9$Lw4z“, nemá žádné zjistitelné vzory. Jeho odhad se rovná hodnotě entropie znakové sady kolem 105 bitů, což je hodnoceno jako velmi silné.

Časté dotazy

Je bezpečné zde zadat své skutečné heslo?

Analýza probíhá zcela ve vašem prohlížeči pomocí JavaScriptu na této stránce. Heslo není odesíláno na server, neukládá se ani se nezahrnuje do analytiky. Pokud chcete, zkontrolujte místo skutečného hesla heslo se stejnou strukturou.

Proč je mé heslo slabší, než naznačuje číslo entropie?

Entropie znakové sady předpokládá, že každý znak je náhodný. Slova, jména, data a vzory na klávesnici zkoušejí nástroje na prolamování hesel jako první, takže je kontrola považuje za mnohem snadněji uhodnutelné. Údaj „odhad po zohlednění vzorů“ to odráží.

Kontroluje tento nástroj, zda mé heslo uniklo?

Ne. Pouze porovnává s vestavěným seznamem 1 000 velmi běžných hesel a odhaduje uhodnutelnost. Kontrola úniku dat vyžaduje samostatnou službu; pokud nějakou použijete, vyberte si takovou, která obdrží pouze část hashe hesla.

Jaký je dobrý cíl?

U většiny účtů usilujte o hodnocení „silné“ (60 bitů nebo více po zohlednění vzorů). U hlavního hesla správce hesel nebo e-mailového účtu usilujte o „velmi silné“ (80 bitů nebo více), například o přístupovou frázi ze šesti náhodných slov.

Proč různé měřiče síly dávají různé výsledky?

Každý měřič používá vlastní seznamy slov, pravidla vzorů a předpoklady rychlosti útočníka. Jednoduché měřiče počítají pouze typy znaků, což nadhodnocuje hesla jako „Password1!“. Berte jakýkoli odhad jako orientační, nikoli jako přesné měření.

Soukromí

Heslo se analyzuje pouze ve vašem prohlížeči. Neodesílá se, neukládá se, nezaznamenává se ani se neposílá do analytiky; zaznamenává se pouze anonymní událost, že byl nástroj použit. Seznamy běžných hesel a slov jsou součástí stránky, takže se přes síť neprovádí žádné vyhledávání.