tigtools

Passordstyrkesjekker

Skriv inn et passord for å se et anslag over hvor vanskelig det er å gjette, hvilke mønstre som svekker det, og hvordan du kan forbedre det. Passordet analyseres på enheten din og sendes aldri noe sted.

Kjører i nettleseren din Ingen registrering

Sjekkes lokalt mens du skriver. Ingenting lastes opp eller lagres.

Slik bruker du det

  1. Skriv inn eller lim inn passordet i feltet. Det er skjult som standard; bruk «Vis» for å kontrollere det du skrev inn.
  2. Les styrkeetiketten, entropitallene og det omtrentlige anslaget for knekketid.
  3. Se på mønstrene som ble funnet, og følg tipsene for å gjøre passordet vanskeligere å gjette.

Slik fungerer det

Kontrollen starter med tegnmengdeentropi: antallet mulige tegn (26 små bokstaver, 26 store bokstaver, 10 sifre, 33 ASCII-symboler inkludert mellomrom, og 100 for ethvert annet tegn som bokstaver med aksent eller emoji) opphøyd i lengden, uttrykt i bits som log2(tegnmengde) × lengde. Dette tallet forutsetter at hvert tegn ble valgt tilfeldig, noe som sjelden stemmer for passord folk finner på selv.

Deretter ser den etter mønstre som angripere prøver først, og teller hver samsvarende del kun med de bitene som trengs for å gjette mønsteret: en innebygd liste over de 1 000 vanligste passordene, omtrent 3 000 vanlige engelske ord og 600 vanlige fornavn (også etter å ha reversert leetspeak som 4→a, 3→e, 0→o, $→s), tastaturrekker som qwerty og asdf, sekvenser som abc eller 4321, gjentatte tegn eller blokker, årstall fra 1900 til 2099 og datoer som 12/05/1990 eller 19900512. Resultatet er «estimat etter mønstre». Metoden ligner i ånd på zxcvbn-estimatoren med åpen kildekode, men er enklere.

Knekketiden forutsetter 10 milliarder gjetninger per sekund, omtrent det noen få moderne grafikkort oppnår mot en rask, usaltet hash som MD5 eller SHA-1 i et offline-angrep, og at halvparten av de gjenværende mulighetene i gjennomsnitt må prøves. Online-angrep mot et påloggingsskjema er langt tregere; godt konfigurerte trege hasher er også mye tregere. Betrakt tallet som en størrelsesorden, ikke et løfte. Kontrollen vet ikke om passordet ditt har forekommet i en datalekkasje.

Eksempler

Et typisk passord som ser sterkt ut

«Summer2023!» har 11 tegn og alle fire tegnkategoriene, så tegnmengdeentropien er omtrent 72 bits. Kontrollen finner ordet «Summer» og årstallet 2023, og estimatet faller til omtrent 22 bits: svært svakt, gjettbart på godt under ett sekund offline.

Leetspeak hjelper ikke

«P@55w0rd» gjenkjennes som «password» med tegnbytter, som er et av de vanligste passordene. Det vurderes som svært svakt uansett hvor mange symboler det inneholder.

Et tilfeldig passord

Et passord på 16 tegn fra en generator, som «v7#Qm!2pXr9$Lw4z», har ingen merkbare mønstre. Estimatet er lik tallet fra tegnmengden på omtrent 105 bits, og det vurderes som svært sterkt.

Ofte stilte spørsmål

Er det trygt å skrive inn det ekte passordet mitt her?

Analysen kjøres utelukkende i nettleseren din med JavaScript på denne siden. Passordet sendes ikke til en server, lagres ikke og inkluderes ikke i analyseverktøy. Hvis du foretrekker det, kan du teste et passord med samme struktur i stedet for det ekte.

Hvorfor er passordet mitt svakere enn entropitallet antyder?

Tegnsettentropi forutsetter at hvert tegn er tilfeldig. Ord, navn, datoer og tastaturmønstre prøves tidlig av knekkeverktøy, så sjekkeren regner dem som mye lettere å gjette. Tallet «anslag etter mønstre» gjenspeiler dette.

Sjekker dette om passordet mitt har blitt lekket?

Nei. Den sammenligner bare med en innebygd liste over 1 000 svært vanlige passord og anslår gjettbarhet. En sjekk av om passordet har lekket krever en egen tjeneste; hvis du bruker en slik, velg en som bare mottar deler av passordets hash.

Hva er et godt mål?

For de fleste kontoer bør du sikte mot «sterkt» (60 bits eller mer etter mønstre). For hovedpassordet til en passordbehandler eller e-postkontoen bør du sikte mot «svært sterkt» (80 bits eller mer), for eksempel en passordsetning med seks tilfeldige ord.

Hvorfor gir ulike styrkemålere ulike resultater?

Hver måler bruker sine egne ordlister, mønsterregler og antakelser om angriperhastighet. Enkle målere teller bare tegntyper, noe som overvurderer passord som «Password1!». Bruk ethvert anslag som veiledning, ikke som en eksakt måling.

Personvern

Passordet analyseres bare i nettleseren din. Det lastes ikke opp, lagres ikke, loggføres ikke og sendes ikke til analyseverktøy; det registreres bare en anonym hendelse om at verktøyet ble brukt. Listene over vanlige passord og ord er en del av siden, så det gjøres ingen oppslag over nettverket.