วิธีใช้งาน
- พิมพ์หรือวางรหัสผ่านลงในช่อง โดยค่าเริ่มต้นจะถูกซ่อนไว้ ใช้ปุ่ม “แสดง” เพื่อตรวจสอบสิ่งที่คุณพิมพ์
- ดูป้ายระดับความแข็งแกร่ง ตัวเลขเอนโทรปี และค่าประมาณเวลาในการถอดรหัสแบบคร่าว ๆ
- ดูรูปแบบที่ตรวจพบและปฏิบัติตามคำแนะนำเพื่อทำให้รหัสผ่านเดายากขึ้น
วิธีการทำงาน
ตัวตรวจสอบเริ่มจากเอนโทรปีของชุดอักขระ: จำนวนอักขระที่เป็นไปได้ (ตัวพิมพ์เล็ก 26 ตัว ตัวพิมพ์ใหญ่ 26 ตัว ตัวเลข 10 ตัว สัญลักษณ์ ASCII 33 ตัวรวมถึงช่องว่าง และ 100 สำหรับอักขระอื่น ๆ เช่นตัวอักษรที่มีเครื่องหมายหรืออีโมจิ) ยกกำลังตามความยาว คิดเป็นบิตได้เป็น log2(ชุดอักขระ) × ความยาว ค่าดังกล่าวสมมติว่าอักขระทุกตัวถูกสุ่มเลือก ซึ่งแทบไม่จริงสำหรับรหัสผ่านที่คนคิดขึ้นเอง
จากนั้นตัวตรวจสอบจะมองหารูปแบบที่ผู้โจมตีมักลองก่อน และนับเฉพาะบิตที่จำเป็นต่อการเดารูปแบบนั้นสำหรับส่วนที่ตรงกัน: รายการรหัสผ่านที่พบบ่อยที่สุด 1,000 อันดับ คำภาษาอังกฤษที่ใช้บ่อยประมาณ 3,000 คำ ชื่อตัวที่พบบ่อย 600 ชื่อ (รวมถึงหลังจากแปลง leetspeak กลับ เช่น 4→a, 3→e, 0→o, $→s) รูปแบบแป้นพิมพ์ต่อเนื่อง เช่น qwerty และ asdf ลำดับ เช่น abc หรือ 4321 อักขระหรือบล็อกที่ซ้ำกัน ปีตั้งแต่ 1900 ถึง 2099 และวันที่ เช่น 12/05/1990 หรือ 19900512 ผลลัพธ์คือ “ค่าประเมินหลังพิจารณารูปแบบ” วิธีนี้มีแนวคิดคล้ายกับตัวประเมิน zxcvbn แบบโอเพนซอร์ส แต่เรียบง่ายกว่า
เวลาในการเจาะรหัสสมมติการเดา 10,000 ล้านครั้งต่อวินาที ซึ่งใกล้เคียงกับที่กราฟิกการ์ดสมัยใหม่ไม่กี่ใบทำได้กับแฮชที่เร็วและไม่มี salt เช่น MD5 หรือ SHA-1 ในการโจมตีแบบออฟไลน์ และสมมติว่าโดยเฉลี่ยต้องลองครึ่งหนึ่งของความเป็นไปได้ที่เหลือ การโจมตีแบบออนไลน์ต่อฟอร์มเข้าสู่ระบบช้ากว่ามาก และแฮชแบบช้าที่ตั้งค่าอย่างดีก็ช้ากว่ามากเช่นกัน ให้ถือตัวเลขนี้เป็นเพียงค่าประมาณลำดับความมากน้อย ไม่ใช่คำรับประกัน ตัวตรวจสอบไม่รู้ว่ารหัสผ่านของคุณเคยปรากฏในข้อมูลรั่วไหลหรือไม่
ตัวอย่าง
รหัสผ่านทั่วไปที่ดูเหมือนแข็งแรง
“Summer2023!” มี 11 อักขระและครบอักขระทั้งสี่ประเภท เอนโทรปีของชุดอักขระจึงประมาณ 72 บิต ตัวตรวจสอบพบคำว่า “Summer” และปี 2023 ค่าประเมินจึงลดลงเหลือประมาณ 22 บิต: อ่อนมาก เดาได้ในเวลาไม่ถึงหนึ่งวินาทีแบบออฟไลน์
Leetspeak ไม่ช่วยอะไร
“P@55w0rd” ถูกจดจำเป็นคำว่า “password” ที่ใช้การแทนอักขระ ซึ่งเป็นหนึ่งในรหัสผ่านที่พบบ่อยที่สุด จึงถูกประเมินว่าอ่อนมากไม่ว่าจะมีสัญลักษณ์อยู่กี่ตัวก็ตาม
รหัสผ่านแบบสุ่ม
รหัสผ่าน 16 อักขระจากตัวสร้าง เช่น “v7#Qm!2pXr9$Lw4z” ไม่มีรูปแบบที่ตรวจพบได้ ค่าประเมินจึงเท่ากับค่าจากชุดอักขระประมาณ 105 บิต ซึ่งจัดว่าแข็งแกร่งมาก
คำถามที่พบบ่อย
ปลอดภัยหรือไม่ที่จะพิมพ์รหัสผ่านจริงที่นี่
การวิเคราะห์ทำงานทั้งหมดในเบราว์เซอร์ของคุณด้วย JavaScript บนหน้านี้ รหัสผ่านจะไม่ถูกส่งไปยังเซิร์ฟเวอร์ บันทึก หรือรวมอยู่ในข้อมูลวิเคราะห์ หากคุณต้องการ ลองตรวจสอบรหัสผ่านที่มีโครงสร้างเดียวกันแทนรหัสผ่านจริงก็ได้
ทำไมรหัสผ่านของฉันจึงอ่อนแอกว่าที่ตัวเลขเอนโทรปีบ่งชี้
เอนโทรปีของชุดอักขระสมมติว่าทุกตัวอักษรเป็นแบบสุ่ม คำ ชื่อ วันที่ และรูปแบบแป้นพิมพ์จะถูกเครื่องมือถอดรหัสลองเดาก่อน ดังนั้นตัวตรวจสอบจึงนับว่าง่ายต่อการเดามากกว่า ตัวเลข “ค่าประมาณหลังพิจารณารูปแบบ” สะท้อนถึงสิ่งนั้น
เครื่องมือนี้ตรวจสอบว่ารหัสผ่านของฉันรั่วไหลหรือไม่
ไม่ เครื่องมือนี้เพียงเปรียบเทียบกับรายการรหัสผ่านยอดนิยม 1,000 อันดับแรกที่ฝังอยู่ภายใน และประมาณความง่ายในการเดาเท่านั้น การตรวจสอบการรั่วไหลต้องใช้บริการแยกต่างหาก หากคุณใช้บริการดังกล่าว ควรเลือกบริการที่รับเพียงส่วนหนึ่งของแฮชของรหัสผ่านเท่านั้น
เป้าหมายที่ดีคืออะไร
สำหรับบัญชีส่วนใหญ่ ควรตั้งเป้าให้ได้ระดับ “แข็งแกร่ง” (60 บิตขึ้นไปหลังพิจารณารูปแบบ) สำหรับรหัสผ่านหลักของตัวจัดการรหัสผ่านหรือบัญชีอีเมล ควรตั้งเป้าให้ได้ระดับ “แข็งแกร่งมาก” (80 บิตขึ้นไป) เช่น วลีรหัสผ่านที่ประกอบด้วยคำสุ่มหกคำ
ทำไมตัววัดความแข็งแกร่งของรหัสผ่านแต่ละตัวจึงให้ผลลัพธ์ต่างกัน
มาตรวัดแต่ละตัวมีรายการคำ กฎรูปแบบ และสมมติฐานความเร็วของผู้โจมตีเป็นของตนเอง มาตรวัดแบบง่ายเพียงนับประเภทอักขระ ซึ่งทำให้รหัสผ่านอย่าง “Password1!” ได้รับการประเมินสูงเกินจริง ควรใช้ค่าประมาณใด ๆ เป็นแนวทางมากกว่าการวัดที่แม่นยำ
ความเป็นส่วนตัว
รหัสผ่านจะถูกวิเคราะห์ในเบราว์เซอร์ของคุณเท่านั้น ไม่ถูกอัปโหลด จัดเก็บ บันทึก หรือส่งไปยังระบบวิเคราะห์ มีเพียงเหตุการณ์ไม่ระบุตัวตนว่ามีการใช้เครื่องมือนี้เท่านั้นที่ถูกบันทึก รายการรหัสผ่านยอดนิยมและรายการคำเป็นส่วนหนึ่งของหน้าเว็บ จึงไม่มีการค้นหาผ่านเครือข่าย