Как пользоваться
- Введите или вставьте пароль в поле. По умолчанию он скрыт; нажмите «Показать», чтобы проверить введённый текст.
- Посмотрите на оценку надёжности, значения энтропии и примерное время взлома.
- Изучите найденные шаблоны и воспользуйтесь советами, чтобы усложнить подбор пароля.
Как это работает
Проверка начинается с расчёта энтропии набора символов: количество возможных символов (26 строчных букв, 26 заглавных, 10 цифр, 33 символа ASCII, включая пробел, и 100 для любых других символов, например букв с диакритическими знаками или эмодзи) возводится в степень, равную длине пароля. Результат выражается в битах по формуле log2(набора символов) × длина. Такой расчёт предполагает, что каждый символ выбран случайным образом, но пароли, которые люди придумывают сами, редко бывают случайными.
Затем проверяются шаблоны, которые злоумышленники пробуют в первую очередь. Для каждой найденной части учитывается лишь то количество бит, которое требуется для подбора этого шаблона: встроенный список из 1 000 самых распространённых паролей, около 3 000 часто встречающихся английских слов и 600 распространённых имён (в том числе после преобразования leetspeak, например 4→a, 3→e, 0→o, $→s), последовательности клавиш вроде qwerty и asdf, последовательности вроде abc или 4321, повторяющиеся символы или блоки, годы с 1900 по 2099 и даты, например 12/05/1990 или 19900512. Полученное значение — это «оценка с учётом шаблонов». Метод по своей сути похож на оценщик zxcvbn с открытым исходным кодом, но устроен проще.
Время взлома рассчитано исходя из скорости 10 миллиардов попыток в секунду — примерно такой скорости достигают несколько современных видеокарт при атаке на быстрый хеш без соли, например MD5 или SHA-1, в автономном режиме. В среднем предполагается, что злоумышленнику нужно перебрать половину оставшихся вариантов. Атаки на форму входа в систему намного медленнее; хорошо настроенные медленные хеш-функции тоже значительно замедляют подбор. Воспринимайте это значение как примерный порядок величины, а не как гарантию. Проверка не определяет, попадал ли ваш пароль в утечку данных.
Примеры
Пароль, который кажется надёжным
В пароле «Summer2023!» 11 символов и представлены все четыре типа символов, поэтому энтропия набора символов составляет около 72 бит. Проверка обнаруживает слово «Summer» и год 2023, после чего оценка снижается примерно до 22 бит: очень низкая надёжность, пароль можно подобрать менее чем за секунду в автономном режиме.
Leetspeak не помогает
«P@55w0rd» распознаётся как «password» с заменами символов. Это один из самых распространённых паролей. Он считается очень ненадёжным независимо от количества символов.
Случайный пароль
Пароль из 16 символов, созданный генератором, например «v7#Qm!2pXr9$Lw4z», не содержит обнаруживаемых шаблонов. Его оценка совпадает с энтропией набора символов и составляет около 105 бит — это очень высокая надёжность.
Часто задаваемые вопросы
Безопасно ли вводить здесь настоящий пароль?
Анализ выполняется полностью в вашем браузере с помощью JavaScript на этой странице. Пароль не отправляется на сервер, не сохраняется и не включается в аналитику. Если хотите, проверьте пароль с такой же структурой, но не настоящий.
Почему пароль слабее, чем показывает значение энтропии?
Энтропия набора символов предполагает, что каждый символ выбран случайно. Слова, имена, даты и шаблоны клавиатуры инструменты для взлома проверяют в первую очередь, поэтому проверка считает их гораздо более простыми для подбора. Это учитывается в показателе «оценка с учётом шаблонов».
Проверяется ли, утёк ли мой пароль?
Нет. Проверка сравнивает пароль только со встроенным списком из 1 000 очень распространённых паролей и оценивает, насколько легко его подобрать. Для проверки утечек нужен отдельный сервис; если пользуетесь таким сервисом, выберите тот, которому отправляется только часть хеша пароля.
К какому уровню надёжности стоит стремиться?
Для большинства учётных записей стремитесь к уровню «высокая надёжность» (60 бит или больше с учётом шаблонов). Для главного пароля менеджера паролей или пароля от электронной почты стремитесь к уровню «очень высокая надёжность» (80 бит или больше), например используйте парольную фразу из шести случайных слов.
Почему разные индикаторы надёжности показывают разные результаты?
В разных индикаторах используются свои списки слов, правила поиска шаблонов и предположения о скорости злоумышленника. Простые индикаторы лишь подсчитывают типы символов, из-за чего, например, пароль «Password1!» кажется надёжнее, чем он есть. Используйте любые оценки как ориентир, а не как точное измерение.
Конфиденциальность
Пароль анализируется только в вашем браузере. Он не загружается на сервер, не сохраняется, не регистрируется в журналах и не отправляется в аналитику; фиксируется только анонимное событие об использовании инструмента. Списки распространённых паролей и слов встроены в страницу, поэтому сетевые запросы для проверки не выполняются.