Utilia
Kategoriat ▾
Kieli: fi ▾

Salasanan vahvuuden tarkistus

Testaa, kuinka vahva salasanasi on. Näet pisteet, arvioidun murtoajan neljässä hyökkäysskenaariossa ja konkreettiset vinkit, kaikki tarkistetaan selaimessasi.

Salasana analysoidaan vain tällä sivulla. Sitä ei koskaan lähetetä, tallenneta eikä kirjata lokiin.

Kirjoita salasana nähdäksesi, kuinka vaikea sitä olisi arvata.

Näin tarkistat salasanan

  1. Kirjoita tai liitä salasana kenttään Testattava salasana. Kenttä piilottaa kirjoittamasi; paina Näytä nähdäksesi sen ja Piilota peittääksesi sen uudelleen.
  2. Tulos ilmestyy kirjoittaessasi. Vahvuus-palkki ulottuu arvosta 0 (Erittäin heikko) arvoon 4 (Erittäin vahva).
  3. Lue Arvioitu murtoaika -taulukko: se antaa yhden keston jokaiselle neljästä hyökkäysskenaariosta, aina arvauksia rajoittavasta verkkosivustosta grafiikkakorteilla murrettuun varastettuun tietokantaan.
  4. Tarkista Heikkoudet ja vinkit. Se nimeää tarkistuksen löytämän ongelman (yleinen salasana, näppäimistökuvio, päivämäärä, toistuva jono…) ja ehdottaa korjausta.

Salasana analysoidaan vain tällä sivulla. Sitä ei koskaan lähetetä, tallenneta eikä kirjata lokiin, ja kenttä tyhjennetään, kun poistut sivulta. Silti turvallisin tapa on testata salasanaa, joka muistuttaa omaasi, eikä oikeaa salasanaasi.

Huomio kielestä

Tarkistus perustuu zxcvbn-kirjastoon, jonka sanakirjat kattavat englannin ja ranskan. Suomenkielisiä sanoja, nimiä tai yleisiä suomalaisia salasanoja ei tunneta sanakirjoista erikseen, joten tavallinen suomen sana voi näyttää vahvemmalta kuin se todellisuudessa on. Kohdan Heikkoudet ja vinkit viestit tulevat zxcvbn-kirjastosta englanniksi. Muu käyttöliittymä on suomeksi, ja pisteytys, entropia ja murtoajat toimivat kaikilla salasanoilla kielestä riippumatta.

Näin pisteet lasketaan

Tämä työkalu käyttää zxcvbn-kirjastoa, avoimen lähdekoodin salasana-arvioijaa, jonka Dropbox alun perin loi (tässä sen ylläpidetty TypeScript-versio zxcvbn-ts). Isojen kirjainten ja erikoismerkkien laskemisen sijaan se ajattelee kuin salasanojen murtaja. Se jakaa salasanan osiin ja etsii kaavoja, joita hyökkääjät kokeilevat ensimmäisenä:

  • yleisimmät vuotaneet salasanat, etunimet, sukunimet ja yleiset englannin ja ranskan sanat, myös käänteiset sanat ja ”l33t”-korvaukset kuten p@ssw0rd;
  • näppäimistökuviot kuten qwerty, azerty tai 1qaz2wsx;
  • toistuvat merkit (aaaa), toistuvat lohkot (abcabc) ja jonot (abcd, 9876);
  • päivämäärät ja viimeaikaiset vuosiluvut.

Sen jälkeen se arvioi, montako arvausta hyökkääjä tarvitsisi koko salasanan löytämiseen; luku näytetään kohdassa Arvioidut arvaukset. Pisteet seuraavat tätä lukua: alle tuhat arvausta antaa 0, alle miljoona 1, alle 100 miljoonaa 2, alle 10 miljardia 3 ja kaikki sen yli 4.

Neljä hyökkäysskenaariota

Murtoajat saadaan jakamalla arvioitu arvausten määrä kunkin hyökkäyksen nopeudella:

Skenaario Nopeus
Verkkohyökkäys, rajoitettu 100 arvausta tunnissa
Verkkohyökkäys, ei rajoitusta 10 arvausta sekunnissa
Offline-hyökkäys, hidas tiiviste kuten bcrypt 10 000 arvausta sekunnissa
Offline-hyökkäys, nopea tiiviste kuten MD5 10 miljardia arvausta sekunnissa

Verkkohyökkäys tarkoittaa, että joku kirjoittaa arvauksia kirjautumislomakkeeseen. Offline-hyökkäys tapahtuu tietomurron jälkeen, kun hyökkääjällä on kopio tallennetuista salasanojen tiivisteistä ja hän voi testata arvauksia omalla laitteistollaan. Viimeinen rivi on pahin tapaus, ja sitä kannattaa seurata salasanoissa, jotka suojaavat sähköpostia, verkkopankkia tai salasanahallintaa. Ajat ovat keskiarvoja: hyökkääjä voi olla onnekas ja onnistua aiemmin.

Entropia-arvio

Entropia-arvio on perinteinen raa’an voiman luku: pituus × log2(merkkivaranto), jossa merkkivaranto on käytettyjen merkkityyppien summa (26 pientä kirjainta, 26 isoa kirjainta, 10 numeroa, 33 erikoismerkkiä ja 100 muille merkeille, kuten aksenteille tai emojeille). Qwerty123! saa tällä kaavalla noin 66 bittiä, mutta zxcvbn antaa sille pisteet 0 (Erittäin heikko), koska se on näppäimistörivi, jota seuraa yleinen pääte. Entropia on merkityksellinen vain satunnaisesti valituille salasanoille, esimerkiksi salasanageneraattorin luomille; ihmisen keksimille salasanoille luota pisteisiin ja murtoaikoihin.

Usein kysytyt kysymykset

Onko turvallista kirjoittaa oikea salasanani tänne?

Tarkistus toimii kokonaan selaimessasi tältä sivustolta ladatulla sanakirjalla; mitään kirjoittamaasi ei lähetetä eikä tallenneta. Silti yleissääntönä älä koskaan kirjoita salasanaa muualle kuin sinne, missä sitä käytetään. Samankaltaisen salasanan testaaminen antaa saman oivalluksen.

Miksi pitkä salasanani saa matalat pisteet?

Pituudesta on hyötyä vain, jos sisältö on arvaamatonta. Tunnettu sitaatti, kolmesti toistettu sana tai näppäimistörivi kuuluvat murtajien ensimmäisiin kokeiluihin, joten ne lisäävät vahvuutta vähän, vaikka tekevät salasanasta pitkän.

Mitä pisteitä kannattaa tavoitella?

Tavoittele arvoa 4 (Erittäin vahva) tärkeille tileille ja vähintään 3 kaikelle muulle. Viiden tai useamman satunnaisen sanan salalause tai vähintään 14 merkin satunnainen salasana yltää helposti arvoon 4.

Tekevätkö erikoismerkit ja isot kirjaimet salasanasta vahvan?

Eivät sinänsä. Password1! noudattaa useimpia monimutkaisuussääntöjä ja on silti yksi yleisimmistä salasanoista. Satunnaisuus ja pituus ratkaisevat paljon enemmän kuin merkkien monipuolisuus.

Tarkistaako työkalu, onko salasanani vuotanut?

Se vertaa salasanaa sisäänrakennettuun hyvin yleisten vuotaneiden salasanojen listaan, mutta ei kysele mistään verkkotietokannasta tietomurroista. Salasana, joka näyttää täällä vahvalta, on silti voinut paljastua, jos käytit sitä uudelleen sivustolla, joka murrettiin.

Aiheeseen liittyvät työkalut