tigtools

Adgangskodestyrke-tjekker

Indtast en adgangskode for at se et estimat af, hvor svær den er at gætte, hvilke mønstre der svækker den, og hvordan du kan forbedre den. Adgangskoden analyseres på din enhed og sendes aldrig nogen steder hen.

Kører i din browser Ingen tilmelding

Tjekkes lokalt, mens du skriver. Intet uploades eller gemmes.

Sådan bruger du det

  1. Skriv eller indsæt adgangskoden i feltet. Den er skjult som standard; brug “Vis” for at se, hvad du har skrevet.
  2. Læs styrkebetegnelsen, entropitallene og det omtrentlige estimat for crack-tid.
  3. Se på de fundne mønstre og følg tipsene for at gøre adgangskoden sværere at gætte.

Sådan fungerer det

Kontrollen starter med entropien for tegnpuljen: antallet af mulige tegn (26 små bogstaver, 26 store bogstaver, 10 cifre, 33 ASCII-symboler inklusive mellemrum og 100 for ethvert andet tegn såsom bogstaver med accenter eller emoji) opløftet i længden, udtrykt i bit som log2(pulje) × længde. Dette tal antager, at hvert tegn er valgt tilfældigt, hvilket sjældent er tilfældet for adgangskoder, folk selv finder på.

Derefter leder den efter mønstre, som angribere prøver først, og tildeler hver matchende del kun de bits, der er nødvendige for at gætte mønsteret: en indbygget liste over de 1.000 mest almindelige adgangskoder, ca. 3.000 hyppige engelske ord og 600 almindelige fornavne (også efter ophævelse af leetspeak såsom 4→a, 3→e, 0→o, $→s), tastatursekvenser som qwerty og asdf, sekvenser som abc eller 4321, gentagne tegn eller blokke, årstal fra 1900 til 2099 og datoer som 12/05/1990 eller 19900512. Resultatet er “estimat efter mønstre”. Metoden ligner i ånden open source-estimatoren zxcvbn, men er enklere.

Knækningstiden antager 10 milliarder gæt i sekundet, hvilket omtrent er hvad et par moderne grafikkort opnår mod en hurtig, usaltet hash som MD5 eller SHA-1 i et offline-angreb, og at halvdelen af de resterende muligheder i gennemsnit skal prøves. Online-angreb mod en loginformular er langt langsommere; velkonfigurerede langsomme hashes er også meget langsommere. Betragt tallet som en størrelsesorden, ikke en garanti. Kontrollen ved ikke, om din adgangskode har optrådt i et databrud.

Eksempler

Et typisk “stærkt udseende” password

“Summer2023!” har 11 tegn og alle fire tegntyper, så dets tegnpulje-entropi er ca. 72 bit. Kontrollen finder ordet “Summer” og årstallet 2023, og estimatet falder til omkring 22 bit: meget svag, gætbar på langt under et sekund offline.

Leetspeak hjælper ikke

“P@55w0rd” genkendes som “password” med substitutioner, hvilket er en af de mest almindelige adgangskoder. Den vurderes som meget svag uanset hvor mange symboler den indeholder.

Et tilfældigt kodeord

En adgangskode på 16 tegn fra en generator, f.eks. “v7#Qm!2pXr9$Lw4z”, har ingen synlige mønstre. Estimatet svarer til tegnpulje-beregningen på ca. 105 bits, hvilket vurderes som meget stærkt.

Ofte stillede spørgsmål

Er det sikkert at indtaste min rigtige adgangskode her?

Analysen kører udelukkende i din browser med JavaScript på denne side. Adgangskoden sendes ikke til en server, gemmes ikke og indgår ikke i analyseværktøjer. Hvis du foretrækker det, kan du i stedet tjekke en adgangskode med samme struktur som den rigtige.

Hvorfor er min adgangskode svagere end entropitallet antyder?

Tegnpulje-entropi antager, at hvert tegn er tilfældigt. Ord, navne, datoer og tastaturmønstre prøves tidligt af cracking-værktøjer, så værktøjet regner dem som meget lettere at gætte. Tallet “estimat efter mønstre” afspejler dette.

Tjekker dette, om min adgangskode er blevet lækket?

Nej. Værktøjet sammenligner kun med en indbygget liste over 1.000 meget almindelige adgangskoder og vurderer, hvor lette de er at gætte. En lækagekontrol kræver en separat tjeneste; hvis du bruger en, skal du vælge en, der kun modtager en del af adgangskodens hash.

Hvad er et godt mål?

For de fleste konti bør du sigte efter “stærk” (60 bits eller mere efter mønstre). For hovedadgangskoden til en adgangskodeadministrator eller en e-mailkonto bør du sigte efter “meget stærk” (80 bits eller mere), for eksempel en adgangsfrase med seks tilfældige ord.

Hvorfor giver forskellige styrkemålere forskellige resultater?

Hver måler bruger sine egne ordlister, mønsterregler og antagelser om angriberhastighed. Simple målere tæller kun tegntyper, hvilket overvurderer adgangskoder som “Password1!”. Brug ethvert estimat som vejledning snarere end som en nøjagtig måling.

Privatliv

Adgangskoden analyseres kun i din browser. Den uploades, gemmes, logges eller sendes ikke til webanalyse; der registreres kun en anonym hændelse om, at værktøjet er blevet brugt. Listerne over almindelige adgangskoder og ord er en del af siden, så der foretages ingen opslag over netværket.