Έλεγχος ισχύος κωδικού πρόσβασης

Q: Ποια βαθμολογία να στοχεύσω;

Στοχεύστε στο 4 Πολύ ισχυρός για σημαντικούς λογαριασμούς και τουλάχιστον στο 3 για όλα τα υπόλοιπα. Μια τυχαία φράση πρόσβασης με πέντε ή περισσότερες λέξεις ή ένας τυχαίος κωδικός 14 ή περισσότερων χαρακτήρων φτάνει εύκολα στο 4.

Q: Κάνουν τα σύμβολα και τα κεφαλαία γράμματα έναν κωδικό ισχυρό;

Όχι από μόνα τους. Το Password1! ακολουθεί τους περισσότερους κανόνες πολυπλοκότητας και παραμένει ένας από τους πιο συνηθισμένους κωδικούς. Η τυχαιότητα και το μήκος μετρούν πολύ περισσότερο από την ποικιλία χαρακτήρων.

Δοκιμάστε πόσο ισχυρός είναι ο κωδικός σας: βαθμολογία, χρόνος σπασίματος για τέσσερα σενάρια επίθεσης και συμβουλές, τοπικά στο πρόγραμμα περιήγησης.

Κωδικός προς δοκιμή

Ο κωδικός αναλύεται μόνο σε αυτή τη σελίδα. Δεν στέλνεται, δεν αποθηκεύεται και δεν καταγράφεται ποτέ.

Πληκτρολογήστε έναν κωδικό για να δείτε πόσο δύσκολο θα ήταν να βρεθεί.

Ισχύς –

Βαθμολογία: –
Εκτιμώμενες δοκιμές: –
Εκτίμηση εντροπίας: –
Μήκος: –
Είδη χαρακτήρων: –

Εκτιμώμενος χρόνος σπασίματος

Σενάριο επίθεσης	Χρόνος
Επίθεση στο διαδίκτυο με περιορισμό προσπαθειών (100 δοκιμές την ώρα)	–
Επίθεση στο διαδίκτυο χωρίς περιορισμό (10 δοκιμές το δευτερόλεπτο)	–
Επίθεση εκτός σύνδεσης με αργή συνάρτηση κατακερματισμού όπως η bcrypt (10.000 δοκιμές το δευτερόλεπτο)	–
Επίθεση εκτός σύνδεσης με γρήγορη συνάρτηση κατακερματισμού όπως η MD5 (10 δισεκατομμύρια δοκιμές το δευτερόλεπτο)	–

Αδυναμίες και συμβουλές

Η εντροπία υποθέτει ότι κάθε χαρακτήρας επιλέχθηκε τυχαία από τα είδη χαρακτήρων που χρησιμοποιούνται. Είναι ανώτατο όριο: η βαθμολογία και οι χρόνοι σπασίματος παραπάνω λαμβάνουν υπόψη μοτίβα του πραγματικού κόσμου.

Πώς ελέγχετε έναν κωδικό

Πληκτρολογήστε ή επικολλήστε τον κωδικό στο πεδίο Κωδικός προς δοκιμή. Το πεδίο κρύβει όσα πληκτρολογείτε· πατήστε Εμφάνιση για να τα δείτε και Απόκρυψη για να τα καλύψετε ξανά.
Το αποτέλεσμα εμφανίζεται καθώς πληκτρολογείτε. Η μπάρα Ισχύς πηγαίνει από το 0 (Πολύ αδύναμος) έως το 4 (Πολύ ισχυρός).
Διαβάστε τον πίνακα Εκτιμώμενος χρόνος σπασίματος: δίνει μία διάρκεια για καθένα από τέσσερα σενάρια επίθεσης, από έναν ιστότοπο που περιορίζει τις προσπάθειες σύνδεσης έως μια κλεμμένη βάση δεδομένων που δέχεται επίθεση με κάρτες γραφικών.
Δείτε τις Αδυναμίες και συμβουλές. Ονομάζουν το πρόβλημα που βρήκε ο έλεγχος (ένας κοινός κωδικός, ένα μοτίβο πληκτρολογίου, μια ημερομηνία, μια επαναλαμβανόμενη ακολουθία…) και προτείνουν πώς να το διορθώσετε.

Ο κωδικός αναλύεται μόνο σε αυτή τη σελίδα. Δεν στέλνεται, δεν αποθηκεύεται και δεν καταγράφεται ποτέ και το πεδίο καθαρίζει όταν φεύγετε από τη σελίδα. Παρ’ όλα αυτά, η ασφαλέστερη συνήθεια είναι να δοκιμάζετε έναν κωδικό που μοιάζει με τον δικό σας και όχι τον πραγματικό.

Η γλώσσα του ελέγχου

Ο έλεγχος χρησιμοποιεί λεξικά με αγγλικές και γαλλικές κοινές λέξεις, ονόματα και διαρρεύσαντες κωδικούς. Τα μηνύματα των Αδυναμιών και συμβουλών εμφανίζονται στα αγγλικά, γιατί προέρχονται από τη βιβλιοθήκη ανάλυσης. Ο έλεγχος λειτουργεί κανονικά και για κωδικούς με ελληνικούς χαρακτήρες, οι οποίοι μετρώνται στα άλλα (τόνοι, emoji…), όμως οι ελληνικές λέξεις και τα ελληνικά ονόματα δεν υπάρχουν στα λεξικά. Ένας κωδικός που είναι μια απλή ελληνική λέξη γραμμένη με ελληνικά ή λατινικά γράμματα (greeklish) μπορεί επομένως να βαθμολογηθεί υψηλότερα απ’ όσο αξίζει. Αν χρησιμοποιείτε λέξεις της γλώσσας σας, θεωρήστε το αποτέλεσμα αισιόδοξο.

Πώς υπολογίζεται η βαθμολογία

Το εργαλείο χρησιμοποιεί το zxcvbn, έναν εκτιμητή κωδικών ανοικτού κώδικα που δημιουργήθηκε αρχικά στο Dropbox (εδώ στη συντηρούμενη έκδοσή του σε TypeScript, το zxcvbn-ts). Αντί να μετρά κεφαλαία γράμματα και σύμβολα, σκέφτεται σαν κάποιος που σπάει κωδικούς. Χωρίζει τον κωδικό σε κομμάτια και αναζητά μοτίβα που δοκιμάζουν πρώτα οι επιτιθέμενοι:

τους πιο κοινούς κωδικούς που έχουν διαρρεύσει, μικρά ονόματα, επώνυμα και συχνές αγγλικές και γαλλικές λέξεις, μαζί με ανάποδες λέξεις και αντικαταστάσεις «l33t» όπως το p@ssw0rd·
διαδρομές πληκτρολογίου όπως qwerty, azerty ή 1qaz2wsx·
επαναλαμβανόμενους χαρακτήρες (aaaa), επαναλαμβανόμενα μπλοκ (abcabc) και ακολουθίες (abcd, 9876)·
ημερομηνίες και πρόσφατα έτη.

Στη συνέχεια εκτιμά πόσες δοκιμές θα χρειαζόταν ένας επιτιθέμενος για να βρει ολόκληρο τον κωδικό, κάτι που εμφανίζεται ως Εκτιμώμενες δοκιμές. Η βαθμολογία ακολουθεί αυτόν τον αριθμό: κάτω από χίλιες δοκιμές δίνει 0, κάτω από ένα εκατομμύριο 1, κάτω από 100 εκατομμύρια 2, κάτω από 10 δισεκατομμύρια 3 και οτιδήποτε πάνω από αυτό βαθμολογείται με 4.

Τα τέσσερα σενάρια επίθεσης

Οι χρόνοι σπασίματος διαιρούν τον εκτιμώμενο αριθμό δοκιμών με την ταχύτητα κάθε επίθεσης:

Σενάριο	Ταχύτητα
Επίθεση στο διαδίκτυο με περιορισμό προσπαθειών	100 δοκιμές την ώρα
Επίθεση στο διαδίκτυο χωρίς περιορισμό	10 δοκιμές το δευτερόλεπτο
Επίθεση εκτός σύνδεσης με αργή συνάρτηση κατακερματισμού όπως η bcrypt	10.000 δοκιμές το δευτερόλεπτο
Επίθεση εκτός σύνδεσης με γρήγορη συνάρτηση κατακερματισμού όπως η MD5	10 δισεκατομμύρια δοκιμές το δευτερόλεπτο

Επίθεση στο διαδίκτυο σημαίνει ότι κάποιος πληκτρολογεί δοκιμές σε μια φόρμα σύνδεσης. Επίθεση εκτός σύνδεσης γίνεται μετά από διαρροή δεδομένων, όταν ο επιτιθέμενος έχει αντίγραφο των αποθηκευμένων κατακερματισμένων κωδικών και μπορεί να δοκιμάζει στον δικό του εξοπλισμό. Η τελευταία γραμμή είναι η χειρότερη περίπτωση και είναι αυτή που πρέπει να προσέχετε για κωδικούς που προστατεύουν email, τραπεζικές υπηρεσίες ή έναν διαχειριστή κωδικών. Οι χρόνοι είναι μέσοι όροι: ένας επιτιθέμενος μπορεί να τον βρει νωρίτερα από καλή τύχη.

Εκτίμηση εντροπίας

Η Εκτίμηση εντροπίας είναι ο κλασικός αριθμός της εξαντλητικής δοκιμής: μήκος × log2(μέγεθος συνόλου), όπου το σύνολο είναι το άθροισμα των ειδών χαρακτήρων που χρησιμοποιούνται (26 πεζά, 26 κεφαλαία, 10 ψηφία, 33 σύμβολα και 100 για άλλους χαρακτήρες όπως τόνους ή emoji). Το Qwerty123! παίρνει περίπου 66 bit με αυτό τον τύπο, αλλά το zxcvbn το βαθμολογεί με 0 (Πολύ αδύναμος), γιατί είναι μια σειρά πληκτρολογίου που ακολουθείται από μια κοινή κατάληξη. Η εντροπία έχει νόημα μόνο για κωδικούς που επιλέγονται τυχαία, για παράδειγμα από γεννήτρια κωδικών· για κωδικούς που φτιάχνουν άνθρωποι, εμπιστευτείτε τη βαθμολογία και τους χρόνους σπασίματος.

Συχνές ερωτήσεις

Είναι ασφαλές να πληκτρολογήσω εδώ τον πραγματικό μου κωδικό;

Ο έλεγχος τρέχει εξ ολοκλήρου στο πρόγραμμα περιήγησής σας, με ένα λεξικό που φορτώνεται από αυτό τον ιστότοπο· τίποτα από όσα πληκτρολογείτε δεν μεταδίδεται ή αποθηκεύεται. Παρ’ όλα αυτά, ως γενικός κανόνας, μην πληκτρολογείτε ποτέ έναν κωδικό πουθενά αλλού εκτός από το σημείο όπου χρησιμοποιείται. Η δοκιμή ενός παρόμοιου κωδικού δίνει την ίδια εικόνα.

Γιατί ο μακρύς κωδικός μου παίρνει χαμηλή βαθμολογία;

Το μήκος βοηθά μόνο αν το περιεχόμενο είναι απρόβλεπτο. Ένα διάσημο απόφθεγμα, μια λέξη που επαναλαμβάνεται τρεις φορές ή μια σειρά πληκτρολογίου είναι από τα πρώτα πράγματα που δοκιμάζουν όσοι σπάνε κωδικούς, οπότε προσθέτουν λίγη ισχύ ακόμη και όταν κάνουν τον κωδικό μακρύ.

Ποια βαθμολογία να στοχεύσω;

Στοχεύστε στο 4 (Πολύ ισχυρός) για σημαντικούς λογαριασμούς και τουλάχιστον στο 3 για όλα τα υπόλοιπα. Μια τυχαία φράση πρόσβασης με πέντε ή περισσότερες λέξεις ή ένας τυχαίος κωδικός 14 ή περισσότερων χαρακτήρων φτάνει εύκολα στο 4.

Κάνουν τα σύμβολα και τα κεφαλαία γράμματα έναν κωδικό ισχυρό;

Όχι από μόνα τους. Το Password1! ακολουθεί τους περισσότερους κανόνες πολυπλοκότητας και παραμένει ένας από τους πιο συνηθισμένους κωδικούς. Η τυχαιότητα και το μήκος μετρούν πολύ περισσότερο από την ποικιλία χαρακτήρων.

Ελέγχει το εργαλείο αν ο κωδικός μου έχει διαρρεύσει;

Συγκρίνει τον κωδικό με μια ενσωματωμένη λίστα πολύ κοινών κωδικών που έχουν διαρρεύσει, αλλά δεν ρωτά καμία βάση δεδομένων διαρροών στο διαδίκτυο. Ένας κωδικός που φαίνεται ισχυρός εδώ μπορεί παρ’ όλα αυτά να έχει εκτεθεί αν τον χρησιμοποιήσατε σε έναν ιστότοπο που παραβιάστηκε.