איך להשתמש בו
- הקלידו או הדביקו את הסיסמה בתיבה. היא מוסתרת כברירת מחדל; השתמשו ב„הצג“ כדי לבדוק מה שהקלדתם.
- קראו את תווית החוזק, נתוני האנטרופיה וההערכה הגסה של זמן הפיצוח.
- הסתכלו בתבניות שנמצאו ופעלו לפי הטיפים כדי להקשות על ניחוש הסיסמה.
איך זה עובד
הבודק מתחיל באנטרופיה של מאגר התווים: מספר התווים האפשריים (26 אותיות קטנות, 26 אותיות גדולות, 10 ספרות, 33 סימני ASCII כולל רווח, ו־100 לכל תו אחר כגון אותיות עם סימני הטעמה או אמוג׳י) בחזקת האורך, מבוטא בסיביות כ־log2(מאגר) × אורך. נתון זה מניח שכל תו נבחר באקראי, מה שנכון רק לעתים נדירות לגבי סיסמאות שאנשים ממציאים.
לאחר מכן הבודק מחפש דפוסים שתוקפים מנסים קודם, ומחייב כל חלק תואם רק בסיביות הדרושות לניחוש הדפוס: רשימה מובנית של 1,000 הסיסמאות הנפוצות ביותר, כ־3,000 מילים נפוצות באנגלית ו־600 שמות פרטיים נפוצים (גם לאחר ביטול כתב leet כגון 4→a, 3→e, 0→o, $→s), רצפי מקלדת כמו qwerty ו־asdf, רצפים כמו abc או 4321, תווים או בלוקים חוזרים, שנים מ־1900 עד 2099 ותאריכים כגון 12/05/1990 או 19900512. התוצאה היא „האומדן לאחר דפוסים“. השיטה דומה ברוחה לאומדן הקוד הפתוח zxcvbn, אך פשוטה יותר.
זמן הפענוח מניח 10 מיליארד ניחושים בשנייה, בערך מה שמשיגים כמה כרטיסי מסך מודרניים מול גיבוב מהיר ללא salt כגון MD5 או SHA-1 בהתקפה לא מקוונת, ושבמוצע יש לנסות מחצית מהאפשרויות הנותרות. התקפות מקוונות מול טופס התחברות איטיות בהרבה; גיבובים איטיים שמוגדרים היטב איטיים אף יותר. התייחסו לנתון כסדר גודל, לא כהבטחה. הבודק אינו יודע אם הסיסמה שלכם הופיעה בדליפת מידע.
דוגמאות
סיסמה טיפוסית שנראית „חזקה“
ל־„Summer2023!“ יש 11 תווים וכל ארבעת סוגי התווים, כך שאנטרופיית מאגר התווים שלה היא כ־72 סיביות. הבודק מוצא את המילה „Summer“ ואת השנה 2023, והאומדן יורד לכ־22 סיביות: חלשה מאוד, ניתנת לניחוש בפחות משנייה בהתקפה לא מקוונת.
Leetspeak לא עוזר
„P@55w0rd“ מזוהה כ־„password“ עם החלפות, והיא אחת הסיסמאות הנפוצות ביותר. היא מדורגת חלשה מאוד בלי קשר למספר הסימנים שהיא מכילה.
סיסמה אקראית
לסיסמה בת 16 תווים ממחולל, כגון „v7#Qm!2pXr9$Lw4z“, אין דפוסים ניתנים לזיהוי. האומדן שלה שווה לנתון מאגר התווים של כ־105 סיביות, והיא מדורגת חזקה מאוד.
שאלות נפוצות
האם בטוח להקליד כאן את הסיסמה האמיתית שלי?
הניתוח מתבצע כולו בדפדפן שלך באמצעות JavaScript בדף הזה. הסיסמה לא נשלחת לשרת, לא נשמרת ולא נכללת בניתוח נתונים. אם תעדיפו, בדקו סיסמה בעלת מבנה דומה במקום הסיסמה האמיתית.
למה הסיסמה שלי חלשה יותר ממה שמספר האנטרופיה מרמז?
אנטרופיית מאגר תווים מניחה שכל תו הוא אקראי. מילים, שמות, תאריכים ותבניות מקלדת נבדקים מוקדם על ידי כלי פיצוח, ולכן הבודק מחשיב אותם כקלים בהרבה לניחוש. הנתון „הערכה אחרי תבניות“ משקף זאת.
האם הכלי הזה בודק אם הסיסמה שלי דלפה?
לא. הוא משווה רק מול רשימה מובנית של 1,000 סיסמאות נפוצות מאוד ומעריך כמה קל לנחש אותה. בדיקת דליפה דורשת שירות נפרד; אם אתם משתמשים באחד כזה, בחרו אחד שמקבל רק חלק מגיבוב הסיסמה.
מהו יעד טוב?
לרוב החשבונות, שאפו ל„חזקה“ (60 סיביות או יותר אחרי תבניות). לסיסמת אב במנהל סיסמאות או לחשבון אימייל, שאפו ל„חזקה מאוד“ (80 סיביות או יותר), למשל ביטוי סיסמה בן שש מילים אקראיות.
למה מדדי חוזק שונים נותנים תוצאות שונות?
כל מד משתמש ברשימות מילים, כללי תבניות והנחות מהירות תקיפה משלו. מדדים פשוטים סופרים רק סוגי תווים, מה שמדרג גבוה מדי סיסמאות כמו „Password1!“. התייחסו לכל הערכה כקו מנחה ולא כמדידה מדויקת.
פרטיות
הסיסמה מנותחת רק בדפדפן שלך. היא לא מועלית, לא נשמרת, לא מתועדת ולא נשלחת לכלי ניתוח; נרשם רק אירוע אנונימי של שימוש בכלי. רשימות הסיסמאות הנפוצות והמילים הן חלק מהדף, כך שלא מתבצעת שום בדיקה מול הרשת.