Jak używać
- Wpisz lub wklej hasło w polu. Domyślnie jest ukryte — wybierz „Pokaż”, aby sprawdzić, co wpisano.
- Sprawdź etykietę siły, wartości entropii i przybliżony szacowany czas złamania.
- Sprawdź wykryte wzorce i skorzystaj ze wskazówek, aby utrudnić odgadnięcie hasła.
Jak to działa
Sprawdzanie zaczyna się od obliczenia entropii puli znaków: liczba możliwych znaków (26 małych liter, 26 wielkich liter, 10 cyfr, 33 symbole ASCII, w tym spacja, oraz 100 dla każdego innego znaku, np. litery ze znakami diakrytycznymi lub emoji) podniesiona do potęgi równej długości hasła, wyrażona w bitach jako log2(puli) × długość. Wynik zakłada, że każdy znak został wybrany losowo, co rzadko zdarza się w przypadku haseł wymyślanych przez ludzi.
Następnie sprawdzane są wzorce, od których atakujący zwykle zaczynają, a każda pasująca część jest liczona jako wymagająca tylko tylu bitów, ile potrzeba do odgadnięcia danego wzorca: wbudowana lista 1000 najczęściej używanych haseł, około 3000 często używanych angielskich słów i 600 popularnych imion (również po zamianie zapisu leet, np. 4→a, 3→e, 0→o, $→s), ciągi klawiszy, takie jak qwerty i asdf, sekwencje, takie jak abc lub 4321, powtarzające się znaki lub bloki, lata z zakresu 1900–2099 oraz daty, takie jak 12/05/1990 lub 19900512. Wynik to „szacunek po uwzględnieniu wzorców”. Metoda jest podobna w założeniach do estymatora open source zxcvbn, ale prostsza.
Szacowany czas złamania zakłada 10 miliardów prób na sekundę — mniej więcej tyle, ile osiąga kilka nowoczesnych kart graficznych podczas ataku offline na szybki, niesolony skrót, taki jak MD5 lub SHA-1 — oraz że średnio trzeba sprawdzić połowę pozostałych możliwości. Ataki online na formularz logowania są znacznie wolniejsze; dobrze skonfigurowane, wolne funkcje skrótu również działają dużo wolniej. Traktuj ten wynik jako przybliżony rząd wielkości, a nie gwarancję. Sprawdzanie nie wykrywa, czy hasło pojawiło się w wycieku danych.
Przykłady
Hasło, które tylko wygląda na silne
Hasło „Summer2023!” ma 11 znaków i zawiera wszystkie cztery typy znaków, więc entropia puli znaków wynosi około 72 bitów. Sprawdzanie wykrywa słowo „Summer” i rok 2023, przez co szacunek spada do około 22 bitów: hasło jest bardzo słabe i można je odgadnąć w trybie offline w znacznie mniej niż sekundę.
Zapis leet nie pomaga
„P@55w0rd” jest rozpoznawane jako „password” zapisane z podstawieniami — to jedno z najczęściej używanych haseł. Jest oceniane jako bardzo słabe, niezależnie od liczby zawartych symboli.
Losowe hasło
16-znakowe hasło wygenerowane losowo, takie jak „v7#Qm!2pXr9$Lw4z”, nie zawiera wykrywalnych wzorców. Jego szacunek jest równy wartości entropii puli znaków, czyli około 105 bitom, co oznacza, że hasło jest bardzo silne.
Często zadawane pytania
Czy wpisanie tutaj prawdziwego hasła jest bezpieczne?
Analiza odbywa się w całości w przeglądarce, za pomocą JavaScript na tej stronie. Hasło nie jest wysyłane na serwer, zapisywane ani uwzględniane w analityce. Jeśli wolisz, sprawdź hasło o takiej samej strukturze zamiast prawdziwego.
Dlaczego moje hasło jest słabsze, niż sugeruje wartość entropii?
Entropia puli znaków zakłada, że każdy znak jest losowy. Narzędzia do łamania haseł w pierwszej kolejności sprawdzają słowa, imiona, daty i wzorce klawiaturowe, dlatego sprawdzanie traktuje je jako znacznie łatwiejsze do odgadnięcia. Uwzględnia to wartość „szacunku po uwzględnieniu wzorców”.
Czy narzędzie sprawdza, czy moje hasło wyciekło?
Nie. Narzędzie porównuje hasło tylko z wbudowaną listą 1000 bardzo popularnych haseł i szacuje, jak łatwo można je odgadnąć. Sprawdzenie, czy hasło wyciekło, wymaga osobnej usługi. Jeśli z niej korzystasz, wybierz taką, która otrzymuje tylko część skrótu hasła.
Jaki wynik warto osiągnąć?
W przypadku większości kont wybierz hasło o sile „silne” (co najmniej 60 bitów po uwzględnieniu wzorców). W przypadku głównego hasła do menedżera haseł lub konta e-mail wybierz „bardzo silne” (co najmniej 80 bitów), np. frazę składającą się z sześciu losowych słów.
Dlaczego różne mierniki siły hasła pokazują różne wyniki?
Każdy miernik korzysta z własnych list słów i reguł wykrywania wzorców oraz przyjmuje inne założenia dotyczące szybkości atakującego. Proste mierniki uwzględniają tylko typy znaków, przez co zawyżają ocenę haseł takich jak „Password1!”. Traktuj każdy wynik jako wskazówkę, a nie dokładny pomiar.
Prywatność
Hasło jest analizowane wyłącznie w przeglądarce. Nie jest przesyłane, zapisywane, rejestrowane ani wysyłane do narzędzi analitycznych; rejestrowane jest tylko anonimowe zdarzenie informujące o użyciu narzędzia. Lista popularnych haseł i słów jest częścią strony, więc nie są wykonywane żadne zapytania przez sieć.