Come si usa
- Digita o incolla la password nel campo. Per impostazione predefinita è nascosta; usa «Mostra» per controllare ciò che hai digitato.
- Leggi l’indicatore di robustezza, i valori di entropia e la stima approssimativa del tempo necessario per decifrarla.
- Esamina gli schemi individuati e segui i suggerimenti per rendere la password più difficile da indovinare.
Come funziona
Il controllo parte dall’entropia dell’insieme di caratteri: il numero di caratteri possibili (26 lettere minuscole, 26 maiuscole, 10 cifre, 33 simboli ASCII inclusi gli spazi e 100 per qualsiasi altro carattere, come le lettere accentate o le emoji) elevato alla lunghezza, espresso in bit come log2(insieme) × lunghezza. Questo valore presuppone che ogni carattere sia stato scelto a caso, cosa che raramente accade con le password inventate dalle persone.
Poi cerca gli schemi che gli aggressori provano per primi e calcola per ogni parte individuata solo i bit necessari a indovinare lo schema: un elenco integrato delle 1.000 password più comuni, circa 3.000 parole inglesi frequenti e 600 nomi propri comuni (anche dopo aver convertito le sostituzioni tipiche del leetspeak, come 4→a, 3→e, 0→o, $→s), sequenze di tasti come qwerty e asdf, sequenze come abc o 4321, caratteri o blocchi ripetuti, anni dal 1900 al 2099 e date come 12/05/1990 o 19900512. Il risultato è la «stima dopo l’analisi degli schemi». Il metodo si ispira all’algoritmo open source zxcvbn, ma è più semplice.
Il tempo per decifrare la password presuppone 10 miliardi di tentativi al secondo, una velocità approssimativamente raggiungibile da alcune schede grafiche moderne contro un hash veloce e senza salt come MD5 o SHA-1 in un attacco offline, e che in media sia necessario provare metà delle possibilità rimanenti. Gli attacchi online contro una schermata di accesso sono molto più lenti; anche gli hash lenti configurati correttamente lo sono. Considera il valore come un ordine di grandezza, non come una garanzia. Il controllo non può sapere se la tua password è comparsa in una violazione dei dati.
Esempi
Una password che sembra robusta
«Summer2023!» ha 11 caratteri e include tutti e quattro i tipi di caratteri, quindi la sua entropia dell’insieme di caratteri è di circa 72 bit. Il controllo individua la parola «Summer» e l’anno 2023, riducendo la stima a circa 22 bit: molto debole, indovinabile in ben meno di un secondo con un attacco offline.
Il leetspeak non aiuta
«P@55w0rd» viene riconosciuta come «password» con sostituzioni: è una delle password più comuni. Viene valutata come molto debole, indipendentemente dal numero di simboli che contiene.
Una password casuale
Una password di 16 caratteri generata casualmente, come «v7#Qm!2pXr9$Lw4z», non presenta schemi rilevabili. La sua stima coincide con il valore dell’insieme di caratteri, pari a circa 105 bit, e viene valutata come molto robusta.
Domande frequenti
È sicuro inserire qui la mia password reale?
L’analisi viene eseguita interamente nel tuo browser, con JavaScript su questa pagina. La password non viene inviata a un server, salvata né inclusa nelle statistiche. Se preferisci, prova una password con la stessa struttura invece di quella reale.
Perché la mia password è più debole di quanto suggerisca il valore di entropia?
L’entropia dell’insieme di caratteri presuppone che ogni carattere sia casuale. Le parole, i nomi, le date e gli schemi della tastiera vengono provati per primi dagli strumenti di decifrazione, quindi il controllo li considera molto più facili da indovinare. La «stima dopo l’analisi degli schemi» tiene conto di questo.
Questo controllo verifica se la mia password è stata divulgata?
No. Il controllo confronta la password solo con un elenco integrato di 1.000 password molto comuni e ne stima la facilità con cui può essere indovinata. Per verificare se è stata esposta serve un servizio separato; se ne usi uno, scegline uno che riceva solo una parte dell’hash della password.
Qual è un buon obiettivo?
Per la maggior parte degli account, punta a una password «robusta» (almeno 60 bit dopo l’analisi degli schemi). Per la password principale di un gestore di password o per l’account email, punta a una password «molto robusta» (almeno 80 bit), ad esempio una frase composta da sei parole casuali.
Perché i diversi indicatori di robustezza danno risultati diversi?
Ogni indicatore usa elenchi di parole, regole per individuare gli schemi e ipotesi sulla velocità degli aggressori diversi. Gli indicatori più semplici contano solo i tipi di caratteri e sopravvalutano password come «Password1!». Considera ogni stima indicativa, non una misurazione esatta.
Privacy
La password viene analizzata solo nel tuo browser. Non viene caricata, salvata, registrata né inviata ai servizi di analisi; viene registrato solo un evento anonimo che indica l’utilizzo dello strumento. Gli elenchi di password comuni e di parole sono inclusi nella pagina, quindi non viene effettuata alcuna ricerca in rete.