Проверка на силата на парола

Как да проверите парола

1. Въведете или поставете паролата в Парола за проверка. Полето скрива въведеното; натиснете Покажи, за да го видите, и Скрий, за да го маскирате отново.
2. Резултатът се появява, докато пишете. Лентата Сила върви от 0 (Много слаба) до 4 (Много силна).
3. Прочетете таблицата Приблизително време за разбиване: тя дава по една продължителност за всеки от четири сценария на атака, от уебсайт, който ограничава опитите за вход, до открадната база данни, атакувана с видеокарти.
4. Вижте Слабости и съвети. Там се назовава проблемът, който проверката е открила (често срещана парола, клавиатурен шаблон, дата, повтаряща се поредица…), и се предлага как да го поправите.

Паролата се анализира само на тази страница. Никога не се изпраща, не се запазва и не се записва, а полето се изчиства, когато напуснете страницата. Въпреки това най-безопасният навик е да тествате парола, която прилича на вашата, а не истинската.

Как се изчислява оценката

Този инструмент използва zxcvbn – оценител на пароли с отворен код, създаден първоначално в Dropbox (тук в поддържаната му версия на TypeScript, zxcvbn-ts). Вместо да брои главни букви и символи, той мисли като разбивач на пароли. Разделя паролата на части и търси шаблони, които нападателите пробват първи:

• най-често срещаните изтекли пароли, собствени имена, фамилии и често използвани английски и френски думи, включително обърнати думи и заместване в стил „l33t“ като p@ssw0rd;
• клавиатурни пътеки като qwerty, azerty или 1qaz2wsx;
• повтарящи се знаци (aaaa), повтарящи се блокове (abcabc) и поредици (abcd, 9876);
• дати и скорошни години.

После оценява колко опита би трябвало да направи нападателят, за да намери цялата парола, показано като Приблизителен брой опити. Оценката следва това число: под хиляда опита дава 0, под милион – 1, под 100 милиона – 2, под 10 милиарда – 3, а всичко над това получава 4.

Важно за езика: речниците на проверката са английски и френски, а съветите в Слабости и съвети идват от zxcvbn и се показват на английски. Българска дума, изписана с кирилица или с латиница, не се разпознава като обичайна дума, затова проверката е най-надеждна за дължина, случайност и универсални шаблони като клавиатурни пътеки, повторения и дати.

Четирите сценария на атака

Времената за разбиване делят приблизителния брой опити на скоростта на всяка атака:

Онлайн атака означава, че някой въвежда опити във формуляр за вход. Офлайн атака се случва след изтичане на данни, когато нападателят има копие от съхранените хешове на пароли и може да проверява опити на собствен хардуер. Последният ред е най-лошият случай и е този, на който да обръщате внимание при пароли, които пазят имейл, банкиране или мениджър на пароли. Времената са средни: нападателят може да извади късмет по-рано.

Оценка на ентропията

Оценка на ентропията е класическата стойност за груба сила: дължина × log2(размер на набора), където наборът е сборът от използваните видове знаци (26 малки букви, 26 главни, 10 цифри, 33 символа и 100 за други знаци като акценти или емотикони). Qwerty123! получава около 66 бита по тази формула, но zxcvbn я оценява с 0 (Много слаба), защото е клавиатурен ред, следван от често срещан суфикс. Ентропията има смисъл само за пароли, избрани на случаен принцип, например от генератор на пароли; за пароли, измислени от хора, се доверявайте на оценката и времената за разбиване.