Provjera jačine lozinke

Kako provjeriti lozinku

1. Upiši ili zalijepi lozinku u Lozinka za testiranje. Polje sakriva ono što upisuješ; pritisni Prikaži da to vidiš, a Sakrij da ga ponovo zamaskiraš.
2. Rezultat se pojavljuje dok kucaš. Traka Jačina ide od 0 (Vrlo slaba) do 4 (Vrlo jaka).
3. Pročitaj tabelu Procijenjeno vrijeme probijanja: daje jedno trajanje za svaki od četiri scenarija napada, od sajta koji ograničava pokušaje prijave do ukradene baze koju napadaju grafičke kartice.
4. Pogledaj Slabosti i savjeti. Navode problem koji je provjera pronašla (uobičajena lozinka, obrazac na tastaturi, datum, ponovljeni niz…) i predlažu kako ga ispraviti.

Lozinka se analizira samo na ovoj stranici. Nikad se ne šalje, ne sprema i ne bilježi, a polje se briše kad napustiš stranicu. Ipak, najsigurnija navika je testirati lozinku koja liči na tvoju, a ne pravu.

Napomena o jeziku: rječnici koje alat koristi za prepoznavanje uobičajenih lozinki, imena i riječi pokrivaju engleski i francuski, a poruke u dijelu Slabosti i savjeti dolaze iz biblioteke zxcvbn na engleskom. Uobičajene lozinke na bosanskom prepoznaju se slabije, zato budi još oprezniji s lozinkama od običnih bosanskih riječi, imena i datuma.

Kako se računa ocjena

Alat koristi zxcvbn, procjenjivač lozinki otvorenog koda koji je izvorno nastao u Dropboxu (ovdje u održavanoj TypeScript verziji, zxcvbn-ts). Umjesto brojanja velikih slova i simbola, razmišlja kao onaj ko probija lozinke. Lozinku dijeli na dijelove i traži obrasce koje napadači prvo isprobavaju:

• najčešće procurjele lozinke, imena, prezimena i česte engleske i francuske riječi, uključujući obrnute riječi i „l33t“ zamjene poput p@ssw0rd;
• šetnje po tastaturi kao što su qwerty, azerty ili 1qaz2wsx;
• ponovljene znakove (aaaa), ponovljene blokove (abcabc) i nizove (abcd, 9876);
• datume i nedavne godine.

Zatim procjenjuje koliko bi pokušaja napadaču trebalo da pronađe cijelu lozinku, što se prikazuje kao Procijenjeni broj pokušaja. Ocjena slijedi taj broj: ispod hiljadu pokušaja daje 0, ispod milion 1, ispod 100 miliona 2, ispod 10 milijardi 3, a sve iznad dobija 4.

Četiri scenarija napada

Vremena probijanja dijele procijenjeni broj pokušaja brzinom svakog napada:

Online napad znači da neko upisuje pokušaje u obrazac za prijavu. Offline napad se dešava poslije curenja podataka, kad napadač ima kopiju pohranjenih heš vrijednosti lozinki i može testirati pokušaje na vlastitom hardveru. Posljednji red je najgori slučaj i na njega treba paziti kod lozinki koje štite e-poštu, banku ili upravitelj lozinki. Vremena su prosjeci: napadač može imati sreće i ranije.

Procjena entropije

Procjena entropije je klasična brojka za grubu silu: dužina × log2(veličina skupa), gdje je skup zbir korištenih vrsta znakova (26 malih slova, 26 velikih, 10 cifara, 33 simbola i 100 za ostale znakove poput dijakritika ili emodžija). Qwerty123! po toj formuli dobija oko 66 bitova, a zxcvbn ga ipak ocjenjuje s 0 (Vrlo slaba) jer je to red tastature praćen uobičajenim nastavkom. Entropija ima smisla samo za lozinke birane nasumično, na primjer generatorom lozinki; za lozinke koje je smislio čovjek vjeruj ocjeni i vremenima probijanja.