Comprovador de la fortalesa de contrasenyes

Com comprovar una contrasenya

1. Escriu o enganxa la contrasenya a Contrasenya per provar. El camp amaga el que escrius; prem Mostra per veure-ho i Amaga per tornar-ho a emmascarar.
2. El resultat apareix mentre escrius. La barra de Fortalesa va de 0 (Molt feble) a 4 (Molt forta).
3. Llegeix la taula de Temps estimat per desxifrar-la: dona una durada per a cadascun dels quatre escenaris d’atac, des d’un lloc web que limita els intents d’inici de sessió fins a una base de dades robada atacada amb targetes gràfiques.
4. Consulta Punts febles i consells. Indica el problema que ha trobat el comprovador (una contrasenya comuna, un patró de teclat, una data, una seqüència repetida…) i suggereix com solucionar-lo.

La contrasenya s’analitza només en aquesta pàgina. No s’envia, no es desa i no es registra mai, i el camp s’esborra quan surts de la pàgina. Tot i així, l’hàbit més segur és provar una contrasenya que s’assembli a la teva en lloc de la teva contrasenya real.

Una nota sobre l’idioma: els diccionaris que fa servir el comprovador són en anglès i en francès, i els missatges de Punts febles i consells surten en anglès. La puntuació, els temps i l’entropia funcionen igual amb qualsevol contrasenya, però les paraules corrents en català no es detecten com a tals.

Com es calcula la puntuació

Aquesta eina utilitza zxcvbn, un estimador de contrasenyes de codi obert creat originalment a Dropbox (aquí en la seva versió mantinguda en TypeScript, zxcvbn-ts). En lloc de comptar les lletres majúscules i els símbols, pensa com un atacant de contrasenyes. Divideix la contrasenya en parts i busca els patrons que els atacants proven primer:

• les contrasenyes filtrades més habituals, noms i cognoms i paraules angleses i franceses freqüents, incloses les paraules invertides i les substitucions «l33t» com p@ssw0rd;
• recorreguts de teclat com qwerty, azerty o 1qaz2wsx;
• caràcters repetits (aaaa), blocs repetits (abcabc) i seqüències (abcd, 9876);
• dates i anys recents.

Després calcula quants intents necessitaria un atacant per trobar la contrasenya sencera, i ho mostra com a Intents estimats. La puntuació segueix aquest número: per sota de mil intents dona 0, per sota d’un milió 1, per sota de 100 milions 2, per sota de 10.000 milions 3, i qualsevol valor superior puntua 4.

Els quatre escenaris d’atac

Els temps de desxiframent divideixen el nombre estimat d’intents per la velocitat de cada atac:

Un atac en línia vol dir que algú escriu intents en un formulari d’inici de sessió. Un atac fora de línia es produeix després d’una filtració de dades, quan l’atacant té una còpia dels hashes de contrasenya emmagatzemats i pot provar intents amb el seu propi maquinari. L’última línia és el pitjor dels casos, i és la que cal vigilar en les contrasenyes que protegeixen el correu, el banc o un gestor de contrasenyes. Els temps són mitjanes: un atacant pot tenir sort abans.

Entropia estimada

L’Entropia estimada és la xifra clàssica de força bruta: longitud × log2(mida del conjunt), on el conjunt és la suma dels tipus de caràcters utilitzats (26 minúscules, 26 majúscules, 10 dígits, 33 símbols i 100 per a altres caràcters com els accents o els emojis). Qwerty123! obté uns 66 bits amb aquesta fórmula, però zxcvbn li dona un 0 (Molt feble) perquè és una filera de teclat seguida d’un sufix comú. L’entropia només té sentit per a contrasenyes triades a l’atzar, per exemple amb un generador de contrasenyes; per a les contrasenyes fetes per persones, fia’t de la puntuació i dels temps de desxiframent.