Használata
- Gépelje be vagy illessze be a jelszót a mezőbe. Alapértelmezés szerint rejtett; a „Megjelenítés” gombbal ellenőrizheti, mit írt be.
- Olvassa le az erősségcímkét, az entrópiaértékeket és a feltörési idő durva becslését.
- Nézze meg a talált mintákat, és kövesse a tippeket, hogy a jelszót nehezebb legyen kitalálni.
Hogyan működik
A jelszó-ellenőrző a karakterkészlet-entrópiából indul ki: a lehetséges karakterek számát (26 kisbetű, 26 nagybetű, 10 számjegy, 33 ASCII-szimbólum a szóközzel együtt, és 100 minden egyéb karakterre, például ékezetes betűkre vagy emojikra) a jelszó hosszának hatványára emeli, és bitekben adja meg: log2(készlet) × hossz. Ez az érték feltételezi, hogy minden karakter véletlenszerűen lett kiválasztva, ami az emberek által kitalált jelszavakra ritkán igaz.
Ezután olyan mintákat keres, amelyeket a támadók először próbálnak ki, és minden egyező részhez csak annyi bitet rendel, amennyi a minta kitalálásához szükséges: beépített lista az 1000 leggyakoribb jelszóról, körülbelül 3000 gyakori angol szóról és 600 gyakori keresztnévről (a leetspeak visszaalakítása után is, például 4→a, 3→e, 0→o, $→s), billentyűzetfutások, mint a qwerty és az asdf, sorozatok, mint az abc vagy a 4321, ismétlődő karakterek vagy blokkok, 1900 és 2099 közötti évszámok, valamint dátumok, például 12/05/1990 vagy 19900512. Az eredmény a „minták utáni becslés”. A módszer szemléletében a nyílt forráskódú zxcvbn becslőhöz hasonló, de egyszerűbb.
A feltörési idő 10 milliárd próbálkozást feltételez másodpercenként, ami nagyjából annak felel meg, amit néhány modern grafikus kártya el tud érni egy gyors, só nélküli hash, például MD5 vagy SHA-1 elleni offline támadás során, valamint azt, hogy átlagosan a fennmaradó lehetőségek felét kell kipróbálni. A bejelentkezési űrlap elleni online támadások ennél sokkal lassabbak; a jól konfigurált lassú hashek is sokkal lassabbak. Az értéket nagyságrendi becslésként kezelje, ne ígéretként. Az ellenőrző nem tudja, hogy a jelszó szerepelt-e már adatszivárgásban.
Példák
Egy tipikus „erősnek tűnő” jelszó
A „Summer2023!” 11 karakterből áll, és mind a négy karaktertípust tartalmazza, így a karakterkészlet-entrópiája körülbelül 72 bit. Az ellenőrző felismeri a „Summer” szót és a 2023-as évszámot, így a becslés nagyjából 22 bitre csökken: nagyon gyenge, offline jóval egy másodpercen belül kitalálható.
A leetspeak nem segít
A „P@55w0rd” jelszót az ellenőrző „password” jelszóként ismeri fel helyettesítésekkel, amely az egyik leggyakoribb jelszó. Nagyon gyengének minősül, akárhány szimbólumot is tartalmaz.
Véletlenszerű jelszó
Egy generátorból származó 16 karakteres jelszó, például a „v7#Qm!2pXr9$Lw4z”, nem tartalmaz felismerhető mintákat. A becslése megegyezik a karakterkészlet alapján számolt körülbelül 105 bit értékkel, ami nagyon erős minősítést kap.
Gyakori kérdések
Biztonságos ide beírni a valódi jelszavamat?
Az elemzés teljes egészében az Ön böngészőjében fut, JavaScript segítségével ezen az oldalon. A jelszó nem kerül elküldésre szerverre, nem mentjük el, és nem szerepel az analitikában. Ha jobban szeretné, a valódi helyett egy azonos szerkezetű jelszót ellenőrizzen.
Miért gyengébb a jelszavam, mint amit az entrópiaérték sugall?
A karakterkészlet-alapú entrópia azt feltételezi, hogy minden karakter véletlenszerű. A szavakat, neveket, dátumokat és billentyűzetmintákat a feltörő eszközök korán kipróbálják, ezért az ellenőrző ezeket sokkal könnyebben kitalálhatónak veszi. Ezt tükrözi a „minták utáni becslés” érték.
Ellenőrzi, hogy a jelszavam kiszivárgott-e?
Nem. Csak egy beépített, 1000 nagyon gyakori jelszóból álló listával veti össze, és megbecsüli a kitalálhatóságot. A kiszivárgás-ellenőrzéshez külön szolgáltatás kell; ha ilyet használ, olyat válasszon, amely a jelszó hash-ének csak egy részét kapja meg.
Mi a jó célérték?
A legtöbb fiókhoz törekedjen „erős” értékre (60 bit vagy több a minták után). Jelszókezelő mesterjelszavához vagy e-mail-fiókjához „nagyon erős” értékre (80 bit vagy több) törekedjen, például hat véletlenszerű szóból álló jelmondatra.
Miért adnak a különböző erősségmérők eltérő eredményeket?
Minden mérő saját szólistákat, mintaszabályokat és támadási sebességre vonatkozó feltételezéseket használ. Az egyszerű mérők csak a karaktertípusokat számolják, ami túlértékeli az olyan jelszavakat, mint a „Password1!”. Bármely becslést iránymutatásként kezeljen, ne pontos mérésként.
Adatvédelem
A jelszó elemzése kizárólag az Ön böngészőjében történik. Nem töltjük fel, nem tároljuk, nem naplózzuk, és nem küldjük el analitikai rendszerbe; csak egy névtelen eseményt rögzítünk arról, hogy az eszközt használták. A gyakori jelszavak és szavak listája az oldal része, ezért a hálózaton nem történik keresés.