tigtools

Pemeriksa Kekuatan Kata Laluan

Taip kata laluan untuk melihat anggaran betapa sukarnya ia diteka, corak yang melemahkannya dan cara menambah baiknya. Kata laluan dianalisis pada peranti anda dan tidak pernah dihantar ke mana-mana.

Berjalan dalam pelayar anda Tanpa pendaftaran

Disemak setempat semasa anda menaip. Tiada apa-apa dimuat naik atau disimpan.

Cara menggunakannya

  1. Taip atau tampal kata laluan ke dalam kotak. Ia disembunyikan secara lalai; gunakan “Tunjukkan” untuk menyemak apa yang anda taip.
  2. Baca label kekuatan, angka entropi dan anggaran kasar masa pemecahan.
  3. Lihat corak yang ditemui dan ikuti petua untuk menjadikan kata laluan lebih sukar diteka.

Cara ia berfungsi

Pemeriksa bermula dengan entropi kumpulan aksara: bilangan aksara yang mungkin (26 huruf kecil, 26 huruf besar, 10 digit, 33 simbol ASCII termasuk ruang, dan 100 untuk mana-mana aksara lain seperti huruf beraksen atau emoji) dipangkatkan dengan panjang, dinyatakan dalam bit sebagai log2(kumpulan) × panjang. Angka itu menganggap setiap aksara dipilih secara rawak, yang jarang benar untuk kata laluan yang direka orang.

Ia kemudian mencari corak yang penyerang cuba dahulu dan mengenakan setiap bahagian yang sepadan hanya bit yang diperlukan untuk meneka corak: senarai terbina dalam 1,000 kata laluan paling biasa, kira-kira 3,000 perkataan Inggeris kerap dan 600 nama pertama biasa (juga selepas membatalkan leetspeak seperti 4→a, 3→e, 0→o, $→s), larian papan kekunci seperti qwerty dan asdf, urutan seperti abc atau 4321, aksara atau blok berulang, tahun dari 1900 hingga 2099 dan tarikh seperti 12/05/1990 atau 19900512. Hasilnya ialah “anggaran selepas corak”. Kaedah ini serupa semangatnya dengan penganggar sumber terbuka zxcvbn, tetapi lebih ringkas.

Masa pemecahan menganggap 10 bilion tekaan sesaat, kira-kira apa yang dicapai oleh beberapa kad grafik moden terhadap hash pantas tanpa salt seperti MD5 atau SHA-1 dalam serangan luar talian, dan purata separuh daripada kemungkinan yang tinggal mesti dicuba. Serangan dalam talian terhadap borang log masuk jauh lebih perlahan; hash perlahan yang dikonfigurasi dengan baik juga jauh lebih perlahan. Anggap angka itu sebagai tertib magnitud, bukan janji. Pemeriksa tidak tahu sama ada kata laluan anda telah muncul dalam kebocoran data.

Contoh

Kata laluan “nampak kuat” yang tipikal

“Summer2023!” mempunyai 11 aksara dan keempat-empat jenis aksara, jadi entropi kumpulan aksaranya kira-kira 72 bit. Pemeriksa menjumpai perkataan “Summer” dan tahun 2023, lalu anggaran turun kepada kira-kira 22 bit: sangat lemah, boleh diteka dalam masa kurang daripada satu saat secara luar talian.

Leetspeak tidak membantu

“P@55w0rd” dikenali sebagai “password” dengan penggantian, iaitu salah satu kata laluan paling biasa. Ia dinilai sangat lemah tidak kira berapa banyak simbol yang terkandung.

Kata laluan rawak

Kata laluan 16 aksara daripada penjana, seperti “v7#Qm!2pXr9$Lw4z”, tidak mempunyai corak yang dapat dikesan. Anggarannya sama dengan angka kumpulan aksara kira-kira 105 bit, yang dinilai sangat kuat.

Soalan Lazim

Adakah selamat untuk menaip kata laluan sebenar saya di sini?

Analisis dijalankan sepenuhnya dalam pelayar anda dengan JavaScript pada halaman ini. Kata laluan tidak dihantar ke pelayan, disimpan, atau disertakan dalam analitik. Jika anda lebih suka, semak kata laluan dengan struktur yang sama dan bukannya kata laluan sebenar.

Mengapa kata laluan saya lebih lemah daripada angka entropi yang ditunjukkan?

Entropi kumpulan aksara menganggap setiap aksara adalah rawak. Perkataan, nama, tarikh dan corak papan kekunci dicuba awal oleh alat pemecah, jadi pemeriksa menganggapnya lebih mudah diteka. Angka “anggaran selepas corak” menggambarkan perkara itu.

Adakah ini memeriksa sama ada kata laluan saya telah bocor?

Tidak. Ia hanya membandingkan dengan senarai terbina dalam 1,000 kata laluan yang sangat biasa dan menganggarkan kebolehtekaan. Pemeriksaan kebocoran memerlukan perkhidmatan berasingan; jika anda menggunakannya, pilih yang hanya menerima sebahagian daripada hash kata laluan.

Apakah sasaran yang baik?

Untuk kebanyakan akaun, sasarkan “kuat” (60 bit atau lebih selepas corak). Untuk kata laluan induk pengurus kata laluan atau akaun e-mel, sasarkan “sangat kuat” (80 bit atau lebih), contohnya frasa laluan enam perkataan rawak.

Mengapa meter kekuatan yang berbeza memberikan keputusan yang berbeza?

Setiap meter menggunakan senarai kata, peraturan corak dan andaian kelajuan penyerangnya sendiri. Meter ringkas hanya mengira jenis aksara, yang menilai terlalu tinggi kata laluan seperti “Password1!”. Gunakan sebarang anggaran sebagai panduan dan bukannya ukuran tepat.

Privasi

Kata laluan dianalisis hanya dalam pelayar anda. Ia tidak dimuat naik, disimpan, dicatat dalam log, atau dihantar kepada analitik; hanya peristiwa tanpa nama penggunaan alat ini direkodkan. Senarai kata laluan biasa dan senarai perkataan adalah sebahagian daripada halaman, jadi tiada carian dibuat melalui rangkaian.