نحوه استفاده
- رمز عبور را در کادر وارد یا جای‌گذاری کنید. به‌طور پیش‌فرض پنهان است؛ برای دیدن آنچه تایپ کرده‌اید از «نمایش» استفاده کنید.
- برچسب قدرت، اعداد آنتروپی و برآورد تقریبی زمان کرک را بخوانید.
- الگوهای شناسایی‌شده را ببینید و برای سخت‌تر کردن حدس رمز، نکته‌ها را دنبال کنید.
نحوه کار
این بررسی‌کننده با آنتروپی مجموعه نویسه‌ها شروع می‌کند: تعداد نویسه‌های ممکن (۲۶ حرف کوچک، ۲۶ حرف بزرگ، ۱۰ رقم، ۳۳ نماد ASCII شامل فاصله، و ۱۰۰ برای هر نویسه دیگر مانند حروف اعراب‌دار یا ایموجی) به توان طول عبارت، که بر حسب بیت به‌صورت log2(pool) × length بیان می‌شود. این عدد فرض می‌کند هر نویسه کاملاً تصادفی انتخاب شده است؛ موضوعی که برای رمزهای عبوری که افراد می‌سازند به‌ندرت درست است.
سپس الگوهایی را که مهاجمان ابتدا امتحان می‌کنند جست‌وجو می‌کند و برای هر بخش منطبق فقط بیت‌های لازم برای حدس آن الگو را در نظر می‌گیرد: فهرست داخلی ۱۰۰۰ رمز عبور رایج، حدود ۳۰۰۰ واژه پرتکرار انگلیسی و ۶۰۰ نام کوچک رایج (همچنین پس از بازگرداندن جایگزینی‌های لیت‌اسپیک مانند 4→a، 3→e، 0→o، $→s)، ردیف‌های صفحه‌کلید مانند qwerty و asdf، دنباله‌هایی مانند abc یا 4321، نویسه‌ها یا بلوک‌های تکراری، سال‌های ۱۹۰۰ تا ۲۰۹۹ و تاریخ‌هایی مانند 12/05/1990 یا 19900512. نتیجه «برآورد پس از الگوها» است. این روش از نظر کلی شبیه برآوردگر متن‌باز zxcvbn اما ساده‌تر است.
زمان شکستن، ۱۰ میلیارد حدس در ثانیه را در نظر می‌گیرد؛ تقریباً همان چیزی که چند کارت گرافیک مدرن در برابر یک هش سریع و بدون salt مانند MD5 یا SHA-1 در حمله آفلاین به دست می‌آورند؛ و اینکه به‌طور میانگین باید نیمی از احتمالات باقی‌مانده امتحان شود. حمله‌های آنلاین به فرم ورود بسیار کندترند؛ هش‌های کندِ خوب پیکربندی‌شده نیز بسیار کندترند. این عدد را به‌عنوان یک مرتبه بزرگی در نظر بگیرید، نه یک تضمین. این بررسی‌کننده نمی‌داند که آیا رمز عبور شما در یک نشت داده دیده شده است یا نه.
نمونه‌ها
یک رمز عبور معمولی «ظاهراً قوی»
«Summer2023!» ۱۱ نویسه دارد و هر چهار نوع نویسه را شامل می‌شود؛ بنابراین آنتروپی مجموعه نویسه‌های آن حدود ۷۲ بیت است. بررسی‌کننده واژه «Summer» و سال 2023 را پیدا می‌کند و برآورد به حدود ۲۲ بیت کاهش می‌یابد: بسیار ضعیف و در حالت آفلاین در کمتر از یک ثانیه قابل حدس.
لیت‌اسپیک کمکی نمی‌کند
«P@55w0rd» به‌عنوان «password» همراه با جایگزینی نویسه‌ها شناسایی می‌شود که یکی از رایج‌ترین رمزهای عبور است. صرف‌نظر از تعداد نمادها، بسیار ضعیف ارزیابی می‌شود.
یک رمز عبور تصادفی
یک رمز عبور ۱۶ نویسه‌ای تولیدشده توسط مولد، مانند «v7#Qm!2pXr9$Lw4z»، هیچ الگوی قابل شناسایی ندارد. برآورد آن برابر با مقدار مجموعه نویسه‌ها یعنی حدود ۱۰۵ بیت است که بسیار قوی ارزیابی می‌شود.
پرسش‌های متداول
آیا تایپ رمز عبور واقعی من اینجا امن است؟
تحلیل به‌طور کامل در مرورگر شما با جاوااسکریپت در همین صفحه انجام می‌شود. رمز عبور به سروری ارسال، ذخیره یا در تحلیلی ثبت نمی‌شود. اگر ترجیح می‌دهید، به‌جای رمز واقعی، رمزی با ساختار مشابه بررسی کنید.
چرا رمز عبور من ضعیف‌تر از عدد آنتروپی است؟
آنتروپی مجموعهٔ نویسه‌ها فرض می‌کند هر نویسه تصادفی است. کلمات، نام‌ها، تاریخ‌ها و الگوهای صفحه‌کلید در ابزارهای کرک زودتر امتحان می‌شوند، بنابراین این ابزار آن‌ها را بسیار راحت‌تر برای حدس زدن در نظر می‌گیرد. عدد «برآورد پس از الگوها» این موضوع را نشان می‌دهد.
آیا این ابزار بررسی می‌کند که رمز عبور من فاش شده است؟
خیر. این ابزار فقط رمز را با فهرست داخلی ۱۰۰۰ رمز بسیار رایج مقایسه می‌کند و حدس‌پذیری را برآورد می‌کند. بررسی نشت داده به سرویس جداگانه نیاز دارد؛ اگر از چنین سرویسی استفاده می‌کنید، سرویسی را انتخاب کنید که فقط بخشی از هش رمز عبور را دریافت کند.
هدف مناسب چیست؟
برای بیشتر حساب‌ها «قوی» را هدف بگیرید (۶۰ بیت یا بیشتر پس از الگوها). برای رمز اصلیِ مدیر رمز عبور یا حساب ایمیل «بسیار قوی» را هدف بگیرید (۸۰ بیت یا بیشتر)؛ برای مثال یک عبارت عبور با شش کلمه تصادفی.
چرا قدرت‌سنج‌های مختلف نتایج متفاوتی می‌دهند؟
هر قدرت‌سنج فهرست کلمات، قوانین الگو و فرضیات سرعت مهاجم خود را دارد. قدرت‌سنج‌های ساده فقط انواع نویسه‌ها را می‌شمارند و به همین دلیل رمزهایی مانند «Password1!» را بیش از حد قوی ارزیابی می‌کنند. هر برآوردی را به‌عنوان راهنما در نظر بگیرید، نه اندازه‌گیری دقیق.
حریم خصوصی
رمز عبور فقط در مرورگر شما تحلیل می‌شود. بارگذاری، ذخیره، ثبت یا ارسال به سرویس‌های تحلیلی انجام نمی‌شود؛ فقط یک رویداد ناشناس مبنی بر استفاده از ابزار ثبت می‌شود. فهرست رمزهای رایج و کلمات بخشی از صفحه است و هیچ جست‌وجویی از طریق شبکه انجام نمی‌شود.