Password Strength Checker

Paano suriin ang isang password

1. I-type o i-paste ang password sa Password na susubukan. Itinatago ng field ang tina-type mo; pindutin ang Ipakita para makita ito, at ang Itago para takpan itong muli.
2. Lalabas ang resulta habang nagta-type ka. Ang bar ng Lakas ay mula 0 (Napakahina) hanggang 4 (Napakalakas).
3. Basahin ang talahanayan ng Tinatayang oras bago mabasag: nagbibigay ito ng isang tagal para sa bawat isa sa apat na senaryo ng atake, mula sa website na naglilimita ng pagsubok sa pag-login hanggang sa ninakaw na database na inaatake gamit ang graphics card.
4. Tingnan ang Mga kahinaan at tip. Pinangangalanan nito ang problemang nakita ng checker (karaniwang password, pattern ng keyboard, petsa, inuulit na sunod-sunod…) at nagmumungkahi kung paano ito aayusin.

Sa page na ito lang sinusuri ang password. Hindi ito kailanman ipinapadala, sine-save, o nilo-log, at nililinis ang field kapag umalis ka sa page. Gayunman, pinakaligtas na gawi ang subukan ang password na kahawig ng sa iyo kaysa sa totoong password mo.

Paano kinakalkula ang score

Gumagamit ang tool na ito ng zxcvbn, isang open-source na password estimator na orihinal na ginawa sa Dropbox (dito, sa pinapanatiling bersyong TypeScript nito, ang zxcvbn-ts). Sa halip na magbilang ng malalaking titik at simbolo, nag-iisip ito tulad ng isang nagbabasag ng password. Hinahati nito ang password sa mga piraso at naghahanap ng mga pattern na unang sinusubukan ng mga umaatake:

• ang pinakakaraniwang na-leak na password, pangalan, apelyido, at madalas na salitang Ingles at Pranses, kasama ang mga baligtad na salita at “l33t” na pamalit tulad ng p@ssw0rd;
• mga lakad sa keyboard tulad ng qwerty, azerty o 1qaz2wsx;
• inuulit na character (aaaa), inuulit na bloke (abcabc) at sunod-sunod (abcd, 9876);
• mga petsa at kamakailang taon.

Pagkatapos ay tinatantya nito kung ilang hula ang kakailanganin ng umaatake para mahanap ang buong password, na ipinapakita bilang Tinatayang bilang ng hula. Sumusunod ang score sa numerong iyon: wala pang isang libong hula ay 0, wala pang isang milyon ay 1, wala pang 100 milyon ay 2, wala pang 10 bilyon ay 3, at anumang higit pa roon ay 4.

Tungkol sa wika

Gumagamit ang pagsusuri ng mga diksyunaryo ng karaniwang password at salita sa Ingles at Pranses. Wala itong diksyunaryong Filipino, kaya hindi nito makikilala bilang karaniwan ang mga salitang Tagalog o pangalang Pilipino sa pagtataya, at ang mga mensahe sa Mga kahinaan at tip ay mula sa zxcvbn at nasa Ingles. Gumagana pa rin ang tantiya ng haba, entropy, at mga pattern tulad ng keyboard walk, pag-uulit, at petsa para sa anumang wika.

Ang apat na senaryo ng atake

Hinahati ng mga oras ng pagbasag ang tinatayang bilang ng hula sa bilis ng bawat atake:

Ang online na atake ay may taong nagta-type ng mga hula sa login form. Ang offline na atake ay nangyayari pagkatapos ng data breach, kapag may kopya ang umaatake ng mga nakaimbak na password hash at kaya niyang subukan ang mga hula sa sarili niyang hardware. Ang huling linya ang pinakamasamang sitwasyon, at iyon ang dapat bantayan para sa mga password na nagpoprotekta sa email, bangko, o password manager. Mga average ang mga oras: maaaring maswerte ang umaatake at mas maaga itong mabasag.

Tantiya ng entropy

Ang Tantiya ng entropy ay ang klasikong brute-force na bilang: haba × log2(laki ng pool), kung saan ang pool ay ang kabuuan ng mga uri ng character na ginamit (26 maliit na titik, 26 malaking titik, 10 digit, 33 simbolo, at 100 para sa ibang character tulad ng accent o emoji). Ang Qwerty123! ay nakakakuha ng humigit-kumulang 66 bit sa pormulang ito, pero 0 (Napakahina) ang score ng zxcvbn dito dahil isa itong hilera ng keyboard na sinusundan ng karaniwang hulapi. May saysay lang ang entropy para sa mga password na random na pinili, halimbawa ng password generator; para sa mga password na gawa ng tao, magtiwala sa score at sa mga oras ng pagbasag.