Πώς να το χρησιμοποιήσετε

Πληκτρολογήστε ή επικολλήστε τον κωδικό πρόσβασης στο πεδίο. Είναι κρυμμένος από προεπιλογή· χρησιμοποιήστε το «Εμφάνιση» για να ελέγξετε τι πληκτρολογήσατε.
Διαβάστε την ετικέτα ισχύος, τα νούμερα εντροπίας και τη χονδρική εκτίμηση χρόνου παραβίασης.
Δείτε τα μοτίβα που εντοπίστηκαν και ακολουθήστε τις συμβουλές για να κάνετε τον κωδικό πιο δύσκολο να μαντευτεί.

Πώς λειτουργεί

Ο ελεγκτής ξεκινά με την εντροπία συνόλου χαρακτήρων: ο αριθμός των πιθανών χαρακτήρων (26 πεζά, 26 κεφαλαία, 10 ψηφία, 33 σύμβολα ASCII συμπεριλαμβανομένου του κενού και 100 για οποιονδήποτε άλλο χαρακτήρα όπως γράμματα με τόνους ή emoji) υψωμένος στη δύναμη του μήκους, εκφρασμένος σε bits ως log2(pool) × μήκος. Αυτό το νούμερο υποθέτει ότι κάθε χαρακτήρας επιλέχθηκε τυχαία, κάτι που σπάνια ισχύει για κωδικούς πρόσβασης που επινοούν οι άνθρωποι.

Στη συνέχεια αναζητά μοτίβα που οι επιτιθέμενοι δοκιμάζουν πρώτα και χρεώνει σε κάθε αντιστοιχισμένο τμήμα μόνο τα bits που χρειάζονται για να μαντέψουν το μοτίβο: μια ενσωματωμένη λίστα με τους 1.000 πιο συνηθισμένους κωδικούς πρόσβασης, περίπου 3.000 συχνές αγγλικές λέξεις και 600 κοινά μικρά ονόματα (επίσης μετά την αναίρεση του leetspeak όπως 4→a, 3→e, 0→o, $→s), ακολουθίες πληκτρολογίου όπως qwerty και asdf, ακολουθίες όπως abc ή 4321, επαναλαμβανόμενους χαρακτήρες ή μπλοκ, έτη από το 1900 έως το 2099 και ημερομηνίες όπως 12/05/1990 ή 19900512. Το αποτέλεσμα είναι η «εκτίμηση μετά τα μοτίβα». Η μέθοδος είναι παρόμοια στο πνεύμα με τον ανοιχτού κώδικα εκτιμητή zxcvbn, αλλά απλούστερη.

Ο χρόνος παραβίασης υποθέτει 10 δισεκατομμύρια δοκιμές ανά δευτερόλεπτο, περίπου ό,τι επιτυγχάνουν μερικές σύγχρονες κάρτες γραφικών εναντίον ενός γρήγορου hash χωρίς salt όπως MD5 ή SHA-1 σε επίθεση εκτός σύνδεσης, και ότι κατά μέσο όρο πρέπει να δοκιμαστούν τα μισά από τα εναπομείναντα ενδεχόμενα. Οι επιθέσεις σε σύνδεση εναντίον μιας φόρμας σύνδεσης είναι πολύ πιο αργές· τα σωστά ρυθμισμένα αργά hash είναι επίσης πολύ πιο αργά. Αντιμετωπίστε το νούμερο ως τάξη μεγέθους, όχι ως υπόσχεση. Ο ελεγκτής δεν γνωρίζει αν ο κωδικός πρόσβασής σας έχει εμφανιστεί σε παραβίαση δεδομένων.

Παραδείγματα

Ένας τυπικός «δυνατός στην όψη» κωδικός πρόσβασης

Το «Summer2023!» έχει 11 χαρακτήρες και τους τέσσερις τύπους χαρακτήρων, οπότε η εντροπία συνόλου χαρακτήρων του είναι περίπου 72 bits. Ο ελεγκτής βρίσκει τη λέξη «Summer» και το έτος 2023 και η εκτίμηση πέφτει σε περίπου 22 bits: πολύ αδύναμο, μαντεύεται σε πολύ λιγότερο από ένα δευτερόλεπτο εκτός σύνδεσης.

Το leetspeak δεν βοηθά

Το «P@55w0rd» αναγνωρίζεται ως «password» με αντικαταστάσεις, το οποίο είναι ένας από τους πιο συνηθισμένους κωδικούς πρόσβασης. Βαθμολογείται ως πολύ αδύναμο ανεξάρτητα από το πόσα σύμβολα περιέχει.

Ένας τυχαίος κωδικός πρόσβασης

Ένας κωδικός πρόσβασης 16 χαρακτήρων από γεννήτρια, όπως «v7#Qm!2pXr9$Lw4z», δεν έχει ανιχνεύσιμα μοτίβα. Η εκτίμησή του ισούται με το νούμερο συνόλου χαρακτήρων περίπου 105 bits, το οποίο βαθμολογείται ως πολύ ισχυρό.

Συχνές ερωτήσεις

Είναι ασφαλές να πληκτρολογήσω εδώ τον πραγματικό μου κωδικό πρόσβασης;

Η ανάλυση εκτελείται εξ ολοκλήρου στο πρόγραμμα περιήγησής σας με JavaScript σε αυτή τη σελίδα. Ο κωδικός πρόσβασης δεν αποστέλλεται σε διακομιστή, δεν αποθηκεύεται ούτε περιλαμβάνεται στα αναλυτικά στοιχεία. Αν προτιμάτε, ελέγξτε έναν κωδικό με την ίδια δομή αντί για τον πραγματικό.

Γιατί ο κωδικός μου είναι πιο αδύναμος από ό,τι υποδηλώνει ο αριθμός εντροπίας;

Η εντροπία συνόλου χαρακτήρων υποθέτει ότι κάθε χαρακτήρας είναι τυχαίος. Λέξεις, ονόματα, ημερομηνίες και μοτίβα πληκτρολογίου δοκιμάζονται πρώτα από εργαλεία παραβίασης, επομένως ο ελεγκτής τα θεωρεί πολύ πιο εύκολα να μαντευτούν. Ο αριθμός «εκτίμηση μετά τα μοτίβα» το αντικατοπτρίζει.

Ελέγχει αυτό αν έχει διαρρεύσει ο κωδικός πρόσβασής μου;

Όχι. Συγκρίνει μόνο με μια ενσωματωμένη λίστα 1.000 πολύ συνηθισμένων κωδικών πρόσβασης και εκτιμά πόσο εύκολα μαντεύονται. Ο έλεγχος διαρροής απαιτεί ξεχωριστή υπηρεσία· αν χρησιμοποιήσετε κάποια, επιλέξτε μία που λαμβάνει μόνο μέρος του hash του κωδικού.

Ποιος είναι ένας καλός στόχος;

Για τους περισσότερους λογαριασμούς, στοχεύστε στο «ισχυρός» (60 bits ή περισσότερα μετά τα μοτίβα). Για κύριο κωδικό διαχειριστή κωδικών πρόσβασης ή λογαριασμό email, στοχεύστε στο «πολύ ισχυρός» (80 bits ή περισσότερα), για παράδειγμα μια φράση πρόσβασης έξι τυχαίων λέξεων.

Γιατί διαφορετικοί μετρητές ισχύος δίνουν διαφορετικά αποτελέσματα;

Κάθε μετρητής χρησιμοποιεί δικές του λίστες λέξεων, κανόνες μοτίβων και υποθέσεις ταχύτητας επιτιθέμενου. Οι απλοί μετρητές μετρούν μόνο τύπους χαρακτήρων, γεγονός που υπερεκτιμά κωδικούς όπως «Password1!». Χρησιμοποιήστε κάθε εκτίμηση ως καθοδήγηση και όχι ως ακριβή μέτρηση.

Απόρρητο

Ο κωδικός πρόσβασης αναλύεται μόνο στο πρόγραμμα περιήγησής σας. Δεν μεταφορτώνεται, δεν αποθηκεύεται, δεν καταγράφεται ούτε αποστέλλεται σε υπηρεσίες αναλυτικών στοιχείων· καταγράφεται μόνο ένα ανώνυμο συμβάν ότι χρησιμοποιήθηκε το εργαλείο. Οι λίστες κοινών κωδικών και λέξεων αποτελούν μέρος της σελίδας, επομένως δεν γίνεται καμία αναζήτηση μέσω δικτύου.