Parooli tugevuse kontroll

Kuidas parooli kontrollida

1. Sisesta või kleebi parool lahtrisse Testitav parool. Väli peidab sisestatu; vajuta Näita, et seda näha, ja Peida, et uuesti maskeerida.
2. Tulemus ilmub kirjutamise ajal. Riba Tugevus ulatub 0-st (Väga nõrk) kuni 4-ni (Väga tugev).
3. Loe tabelit Hinnanguline murdmisaeg: see annab ühe kestuse iga nelja rünnakustsenaariumi kohta, alates veebisaidist, mis piirab sisselogimiskatseid, kuni varastatud andmebaasini, mida rünnatakse graafikakaartidega.
4. Vaata Nõrkused ja nõuanded. See nimetab probleemi, mille kontroll leidis (levinud parool, klaviatuurimuster, kuupäev, korduv jada …), ja soovitab, kuidas seda parandada.

Parooli analüüsitakse ainult sellel lehel. Seda ei saadeta, ei salvestata ega logita ning väli tühjendatakse, kui lehelt lahkud. Sellegipoolest on kõige turvalisem harjumus testida sinu omaga sarnast parooli, mitte päris parooli.

Kuidas hinne arvutatakse

Tööriist kasutab zxcvbn-i, avatud lähtekoodiga paroolihinnangut, mille lõi algselt Dropbox (siin selle hooldatud TypeScripti versioonis zxcvbn-ts). Suur- ja erimärkide lugemise asemel mõtleb see nagu paroolimurdja. See jagab parooli tükkideks ja otsib mustreid, mida ründajad proovivad esimesena:

• kõige levinumad lekkinud paroolid, eesnimed, perekonnanimed ning sagedased inglise ja prantsuse sõnad, sh tagurpidi sõnad ja „l33t“ asendused nagu p@ssw0rd;
• klaviatuuril kõndimine, näiteks qwerty, azerty või 1qaz2wsx;
• korduvad märgid (aaaa), korduvad plokid (abcabc) ja jadad (abcd, 9876);
• kuupäevad ja hiljutised aastaarvud.

Seejärel hindab see, mitu pakkumist ründaja vajaks kogu parooli leidmiseks, mida näidatakse väljal Hinnanguline pakkumiste arv. Hinne järgib seda arvu: alla tuhande pakkumise annab 0, alla miljoni 1, alla 100 miljoni 2, alla 10 miljardi 3 ja kõik sellest üle saab 4.

Neli rünnakustsenaariumi

Murdmisajad jagavad hinnangulise pakkumiste arvu iga rünnaku kiirusega:

Veebirünnak tähendab, et keegi sisestab pakkumisi sisselogimisvormi. Võrguühenduseta rünnak toimub pärast andmeleket, kui ründajal on talletatud paroolide räside koopia ja ta saab pakkumisi oma riistvaral testida. Viimane rida on halvim juhtum ning seda tasub jälgida paroolide puhul, mis kaitsevad e-posti, pangandust või paroolihaldurit. Ajad on keskmised: ründajal võib vedada ja ta jõuab sihile varem.

Entroopia hinnang

Entroopia hinnang on klassikaline toore jõu arv: pikkus × log2(valimi suurus), kus valim on kasutatud märgitüüpide summa (26 väiketähte, 26 suurtähte, 10 numbrit, 33 sümbolit ja 100 muude märkide, nagu täpitähed või emotikonid, jaoks). Qwerty123! saab selle valemi järgi umbes 66 bitti, kuid zxcvbn annab sellele hinde 0 (Väga nõrk), sest see on klaviatuuririda, millele järgneb levinud järelliide. Entroopia on tähenduslik ainult juhuslikult valitud paroolide puhul, näiteks parooligeneraatoriga loodute jaoks; inimese tehtud paroolide puhul usalda hinnet ja murdmisaegu.

Keelepiirang

Sõnastikud ja tugevuse mootor kasutavad inglise ja prantsuse keele sõnu; eestikeelseid sõnastikke ei ole. Eesti keele levinud sõnu ja nimesid ei pruugita seetõttu nõrkustena tuvastada, mistõttu võib eestikeelsest sõnast koosnev parool paista tugevam, kui see tegelikult on. Jaotise Nõrkused ja nõuanded teated on inglise keeles.