Test af adgangskodes styrke

Sådan tester du en adgangskode

1. Skriv eller indsæt adgangskoden i Adgangskode, der skal testes. Feltet skjuler det, du skriver; tryk på Vis for at se det og Skjul for at maskere det igen.
2. Resultatet vises, mens du skriver. Bjælken Styrke går fra 0 (Meget svag) til 4 (Meget stærk).
3. Læs tabellen Skønnet tid til at knække den: den giver én varighed for hver af fire angrebsscenarier, fra et websted, der begrænser loginforsøg, til en stjålet database, der angribes med grafikkort.
4. Se Svagheder og tips. Her står det problem, testen fandt (en almindelig adgangskode, et tastaturmønster, en dato, en gentaget følge …), og et forslag til, hvordan du løser det.

Adgangskoden analyseres kun på denne side. Den sendes, gemmes og logges aldrig, og feltet ryddes, når du forlader siden. Alligevel er den sikreste vane at teste en adgangskode, der ligner din, i stedet for din rigtige.

Bemærk: tipsene under Svagheder og tips vises på engelsk, og ordbøgerne med almindelige adgangskoder, navne og ord er engelske og franske. Der er ingen dansk ordbog, så almindelige danske ord og navne genkendes ikke som sådan; mønstre som tastaturrækker, gentagelser, følger og datoer opdages dog uanset sprog.

Sådan beregnes point

Værktøjet bruger zxcvbn, en open source-vurdering af adgangskoder, der oprindeligt blev lavet hos Dropbox (her i den vedligeholdte TypeScript-udgave zxcvbn-ts). I stedet for at tælle store bogstaver og symboler tænker den som en, der knækker adgangskoder. Den deler adgangskoden i stykker og leder efter mønstre, som angribere prøver først:

• de mest almindelige lækkede adgangskoder, fornavne, efternavne og hyppige engelske og franske ord, også baglæns og med »l33t«-udskiftninger som p@ssw0rd;
• tastaturmønstre som qwerty, azerty eller 1qaz2wsx;
• gentagne tegn (aaaa), gentagne blokke (abcabc) og følger (abcd, 9876);
• datoer og nyere årstal.

Derefter skønner den, hvor mange gæt en angriber skal bruge for at finde hele adgangskoden, vist som Skønnet antal gæt. Point følger det tal: under tusind gæt giver 0, under en million 1, under 100 millioner 2, under 10 milliarder 3, og alt over giver 4.

De fire angrebsscenarier

Knækketiderne dividerer det skønnede antal gæt med hvert angrebs hastighed:

Et onlineangreb betyder, at nogen skriver gæt ind i en loginformular. Et offlineangreb sker efter et databrud, hvor angriberen har en kopi af de lagrede hashværdier og kan teste gæt på sit eget udstyr. Den sidste linje er værste fald, og det er den, du skal holde øje med for adgangskoder, der beskytter mail, netbank eller en adgangskodeadministrator. Tiderne er gennemsnit: en angriber kan være heldig og nå det hurtigere.

Skøn over entropi

Skøn over entropi er det klassiske brute force-tal: længde × log2(tegnmængdens størrelse), hvor mængden er summen af de brugte tegntyper (26 små bogstaver, 26 store, 10 cifre, 33 symboler og 100 for andre tegn som accenter eller emojis). Qwerty123! får cirka 66 bit efter den formel, men zxcvbn giver den 0 (Meget svag), fordi det er en tastaturrække efterfulgt af en almindelig endelse. Entropi giver kun mening for adgangskoder, der er valgt tilfældigt, f.eks. af en adgangskodegenerator; for adgangskoder, mennesker har fundet på, skal du stole på point og knækketider.