Käyttöohje
- Kirjoita tai liitä salasana kenttään. Se on oletuksena piilotettu; tarkista kirjoituksesi ”Näytä”-painikkeella.
- Lue vahvuusmerkintä, entropialuvut ja karkea arvio murtamisajasta.
- Katso löydetyt kuviot ja noudata vinkkejä tehdäksesi salasanasta vaikeampi arvata.
Näin se toimii
Tarkistin aloittaa merkistöentropialla: mahdollisten merkkien määrä (26 pienaakkosta, 26 suuraakkosta, 10 numeroa, 33 ASCII-symbolia mukaan lukien välilyönti ja 100 mille tahansa muulle merkille, kuten aksentillisille kirjaimille tai emojille) korotettuna pituuden potenssiin, ilmaistuna bitteinä log2(merkistö) × pituus. Tämä luku olettaa, että jokainen merkki on valittu satunnaisesti, mikä on harvoin totta ihmisten keksimissä salasanoissa.
Sen jälkeen se etsii malleja, joita hyökkääjät kokeilevat ensin, ja laskee kullekin osuvalle osalle vain ne bitit, jotka mallin arvaamiseen tarvitaan: sisäänrakennettu luettelo 1 000 yleisimmästä salasanasta, noin 3 000 yleisestä englanninkielisestä sanasta ja 600 yleisestä etunimestä (myös leet-kirjoituksen kuten 4→a, 3→e, 0→o, $→s purkamisen jälkeen), näppäimistöjuoksut kuten qwerty ja asdf, sarjat kuten abc tai 4321, toistuvat merkit tai lohkot, vuodet 1900–2099 ja päivämäärät kuten 12/05/1990 tai 19900512. Tuloksena on ”arvio mallien jälkeen”. Menetelmä on hengeltään samanlainen kuin avoimen lähdekoodin zxcvbn-arvioija, mutta yksinkertaisempi.
Murtumisaika olettaa 10 miljardia arvausta sekunnissa, suunnilleen mitä muutama nykyaikainen näytönohjain saavuttaa nopeaa, suolaamatonta tiivistettä, kuten MD5:tä tai SHA-1:tä, vastaan offline-hyökkäyksessä, ja että keskimäärin puolet jäljellä olevista vaihtoehdoista on kokeiltava. Verkkohyökkäykset kirjautumislomaketta vastaan ovat paljon hitaampia; hyvin konfiguroidut hitaat tiivisteet ovat myös paljon hitaampia. Suhtaudu lukuun suuruusluokkana, ei lupauksena. Tarkistin ei tiedä, onko salasanasi esiintynyt tietovuodossa.
Esimerkit
Tyypillinen ”vahvalta näyttävä” salasana
”Summer2023!” on 11 merkkiä ja sisältää kaikki neljä merkityyppiä, joten sen merkistöentropia on noin 72 bittiä. Tarkistin löytää sanan ”Summer” ja vuoden 2023, ja arvio putoaa noin 22 bittiin: erittäin heikko, arvattavissa selvästi alle sekunnissa offline-hyökkäyksessä.
Leet-kirjoituksesta ei ole apua
”P@55w0rd” tunnistetaan sanaksi ”password” korvauksilla; tämä on yksi yleisimmistä salasanoista. Se arvioidaan erittäin heikoksi riippumatta siitä, kuinka monta symbolia se sisältää.
Satunnainen salasana
Generaattorista saatu 16-merkkinen salasana, kuten ”v7#Qm!2pXr9$Lw4z”, ei sisällä havaittavia malleja. Sen arvio vastaa merkistöentropian lukemaa, noin 105 bittiä, ja se arvioidaan erittäin vahvaksi.
Usein kysytyt kysymykset
Onko turvallista kirjoittaa oikea salasanani tähän?
Analyysi suoritetaan kokonaan selaimessasi tämän sivun JavaScriptillä. Salasanaa ei lähetetä palvelimelle, tallenneta eikä sisällytetä analytiikkaan. Halutessasi voit tarkistaa oikean salasanan sijaan rakenteeltaan vastaavan salasanan.
Miksi salasanani on heikompi kuin entropialuku antaa ymmärtää?
Merkistöentropia olettaa, että jokainen merkki on satunnainen. Murtotyökalut kokeilevat sanat, nimet, päivämäärät ja näppäimistökuviot varhain, joten tarkistin arvioi ne paljon helpommin arvattaviksi. ”Arvio kuvioiden jälkeen” -luku kuvaa tätä.
Tarkistaako tämä, onko salasanani vuotanut?
Ei. Se vertaa vain sisäänrakennettuun 1 000 yleisimmän salasanan luetteloon ja arvioi arvattavuutta. Vuototarkistus vaatii erillisen palvelun; jos käytät sellaista, valitse sellainen, joka saa vain osan salasanan tiivisteestä.
Mikä on hyvä tavoite?
Useimmille tileille tavoittele ”vahvaa” (60 bittiä tai enemmän kuvioiden jälkeen). Salasanahallinnan pääsalasanalle tai sähköpostitilille tavoittele ”erittäin vahvaa” (80 bittiä tai enemmän), esimerkiksi kuuden satunnaisen sanan salalausetta.
Miksi eri vahvuusmittarit antavat eri tuloksia?
Kukin mittari käyttää omia sanalistojaan, kuviotunnistussääntöjään ja oletuksiaan hyökkäysnopeudesta. Yksinkertaiset mittarit laskevat vain merkistötyypit, mikä yliarvioi esimerkiksi ”Password1!”-tyyppiset salasanat. Käytä arviota suuntaa antavana äläkä tarkkana mittauksena.
Tietosuoja
Salasana analysoidaan vain selaimessasi. Sitä ei ladata palvelimelle, tallenneta, kirjata lokiin eikä lähetetä analytiikkaan; vain anonyymi tapahtuma työkalun käytöstä kirjataan. Yleisten salasanojen ja sanojen luettelot ovat osa sivua, joten verkkoon ei tehdä hakuja.