Nasıl kullanılır?
- Parolayı kutuya yazın veya yapıştırın. Parola varsayılan olarak gizlidir; yazdığınızı kontrol etmek için “Göster” seçeneğini kullanın.
- Güç etiketini, entropi değerlerini ve yaklaşık kırılma süresi tahminini inceleyin.
- Bulunan kalıpları inceleyin ve parolanın tahmin edilmesini zorlaştırmak için önerileri uygulayın.
Nasıl çalışır?
Denetleyici, karakter kümesi entropisiyle başlar: mümkün olan karakterlerin sayısının (26 küçük harf, 26 büyük harf, 10 rakam, boşluk dâhil 33 ASCII simgesi ve aksanlı harfler veya emoji gibi diğer karakterler için 100) karakter uzunluğu kadar üssü alınır ve log2(karakter kümesi) × uzunluk formülüyle bit cinsinden ifade edilir. Bu değer, her karakterin rastgele seçildiğini varsayar; ancak kullanıcıların oluşturduğu parolalarda bu pek sık görülmez.
Ardından saldırganların ilk denediği kalıpları arar ve eşleşen her bölüm için, o kalıbı tahmin etmek üzere gereken bit sayısını esas alır: en yaygın 1.000 paroladan oluşan yerleşik liste, yaklaşık 3.000 sık kullanılan İngilizce sözcük ve 600 yaygın ad (4→a, 3→e, 0→o, $→s gibi leet yazımlarını çözümledikten sonra da aranır), qwerty ve asdf gibi klavye dizileri, abc veya 4321 gibi sıralı diziler, yinelenen karakterler veya bloklar, 1900–2099 arasındaki yıllar ve 12/05/1990 veya 19900512 gibi tarihler. Sonuç, “kalıplar hesaba katıldıktan sonraki tahmin” değeridir. Bu yöntem, açık kaynaklı zxcvbn tahmin aracına yaklaşım olarak benzer, ancak daha basittir.
Kırılma süresi, saniyede 10 milyar tahmin yapıldığı varsayımına dayanır. Bu hız, çevrim dışı bir saldırıda MD5 veya SHA-1 gibi hızlı ve tuzsuz bir karmaya karşı birkaç modern grafik kartının ulaşabileceği yaklaşık hızdır. Ayrıca kalan olasılıkların ortalama yarısının denenmesi gerektiği varsayılır. Giriş formuna yönelik çevrim içi saldırılar çok daha yavaştır; iyi yapılandırılmış, yavaş karma algoritmaları da çok daha yavaştır. Bu değeri kesin bir taahhüt değil, yaklaşık bir büyüklük mertebesi olarak değerlendirin. Denetleyici, parolanızın bir veri ihlalinde ortaya çıkıp çıkmadığını bilemez.
Örnekler
“Güçlü görünen” tipik bir parola
“Summer2023!” 11 karakterden oluşur ve dört karakter türünü de içerir; bu nedenle karakter kümesi entropisi yaklaşık 72 bittir. Denetleyici “Summer” sözcüğünü ve 2023 yılını bulur; tahmin yaklaşık 22 bite düşer. Parola çok zayıftır ve çevrim dışı bir saldırıda bir saniyeden çok daha kısa sürede tahmin edilebilir.
Leet yazımı işe yaramaz
“P@55w0rd”, karakter değişimleriyle “password” olarak tanınır. Bu, en yaygın parolalardan biridir. İçerdiği simge sayısı ne olursa olsun parola çok zayıf olarak değerlendirilir.
Rastgele bir parola
Bir parola oluşturucudan alınan “v7#Qm!2pXr9$Lw4z” gibi 16 karakterli bir parolada tespit edilebilir kalıplar yoktur. Tahmin değeri, yaklaşık 105 bit olan karakter kümesi değerine eşittir ve parola çok güçlü olarak değerlendirilir.
Sık sorulan sorular
Gerçek parolamı buraya yazmam güvenli mi?
Analiz, bu sayfadaki JavaScript kullanılarak tamamen tarayıcınızda yapılır. Parola sunucuya gönderilmez, kaydedilmez veya analiz verilerine eklenmez. İsterseniz gerçek parolanız yerine aynı yapıda bir parola deneyin.
Parolam neden entropi değerinin düşündürdüğünden daha zayıf?
Karakter kümesi entropisi, her karakterin rastgele seçildiğini varsayar. Kırma araçları sözcükleri, adları, tarihleri ve klavye kalıplarını önce dener; bu nedenle denetleyici bunları tahmin etmeyi çok daha kolay sayar. “Kalıplar hesaba katıldıktan sonraki tahmin” değeri bunu yansıtır.
Bu araç parolamın sızdırılıp sızdırılmadığını kontrol eder mi?
Hayır. Denetleyici yalnızca çok yaygın 1.000 paroladan oluşan yerleşik listeyle karşılaştırma yapar ve tahmin edilme kolaylığını hesaplar. Bir veri ihlali sorgulaması için ayrı bir hizmet gerekir. Böyle bir hizmet kullanacaksanız parolanızın karmasının yalnızca bir bölümünü alan bir hizmet seçin.
Hangi düzeyi hedeflemeliyim?
Çoğu hesap için “güçlü” (kalıplar hesaba katıldıktan sonra 60 bit veya üzeri) düzeyini hedefleyin. Parola yöneticisinin ana parolası veya e-posta hesabı için, örneğin rastgele seçilmiş altı sözcükten oluşan bir parola cümlesiyle “çok güçlü” (80 bit veya üzeri) düzeyini hedefleyin.
Farklı parola gücü ölçerleri neden farklı sonuçlar veriyor?
Her ölçer kendi sözcük listelerini, kalıp kurallarını ve saldırganın hızına ilişkin varsayımlarını kullanır. Basit ölçerler yalnızca karakter türlerini sayar; bu da “Password1!” gibi parolaların olduğundan güçlü görünmesine yol açar. Herhangi bir tahmini kesin bir ölçüm değil, yol gösterici olarak değerlendirin.
Gizlilik
Parola yalnızca tarayıcınızda analiz edilir. Yüklenmez, saklanmaz, kaydedilmez veya analiz verilerine gönderilmez; yalnızca aracın kullanıldığına dair anonim bir etkinlik kaydedilir. Yaygın parola ve sözcük listeleri sayfanın içinde bulunur, bu nedenle ağ üzerinden herhangi bir sorgulama yapılmaz.