Jelszó erősség ellenőrző

Hogyan ellenőrizd a jelszavadat

1. Írd be vagy illeszd be a jelszót a Tesztelendő jelszó mezőbe. A mező elrejti, amit begépelsz; a Mutatás gombbal láthatóvá teheted, az Elrejtés gombbal újra elfedheted.
2. Az eredmény gépelés közben megjelenik. Az Erősség sáv 0-tól (Nagyon gyenge) 4-ig (Nagyon erős) tart.
3. Olvasd el a Becsült törési idő táblázatot: négy támadási forgatókönyvre ad egy-egy időtartamot, a bejelentkezési kísérleteket korlátozó weboldaltól az ellopott, videokártyákkal támadott adatbázisig.
4. Nézd meg a Gyenge pontok és tippek részt. Megnevezi a talált problémát (gyakori jelszó, billentyűzetmintázat, dátum, ismétlődő sorozat…), és javaslatot tesz a javításra.

A jelszót csak ezen az oldalon elemezzük. Soha nem küldjük el, nem mentjük el és nem naplózzuk, a mezőt pedig az oldal elhagyásakor töröljük. Ennek ellenére a legbiztonságosabb szokás az, ha nem a valódi jelszavadat, hanem egy hozzá hasonlót tesztelsz.

Fontos tudnivaló a nyelvről

A jelszószótárak (gyakori jelszavak, keresztnevek, vezetéknevek és gyakori szavak) angol és francia nyelvűek, magyar szótár nincs. Ezért egy gyakori magyar szó vagy név nem feltétlenül tűnik fel gyenge pontként, és a „Gyenge pontok és tippek” üzenetek angolul jelennek meg. A pontszám és a törési idő a magyar jelszavaknál is hasznos, de mint minden becslés, óvatosan kezelendő: egy egyszerű magyar szó, kiegészítve számmal, ennél gyengébb lehet, mint amit az eszköz jelez.

Hogyan számoljuk a pontszámot

Az eszköz a zxcvbn nevű, nyílt forrású jelszóbecslőt használja, amelyet eredetileg a Dropboxnál készítettek (itt a karbantartott TypeScript-változata, a zxcvbn-ts). A nagybetűk és szimbólumok számolása helyett úgy gondolkodik, mint egy jelszótörő. Darabokra bontja a jelszót, és olyan mintázatokat keres, amelyeket a támadók elsőként próbálnak ki:

• a legelterjedtebb kiszivárgott jelszavak, keresztnevek, vezetéknevek és gyakori angol és francia szavak, a fordított szavakat és az „l33t” helyettesítéseket (például p@ssw0rd) is beleértve;
• billentyűzet-útvonalak, például qwerty, azerty vagy 1qaz2wsx;
• ismétlődő karakterek (aaaa), ismétlődő blokkok (abcabc) és sorozatok (abcd, 9876);
• dátumok és friss évszámok.

Ezután megbecsüli, hány próbálkozásra lenne szüksége egy támadónak a teljes jelszó megtalálásához, ezt mutatja a Becsült próbálkozások száma. A pontszám ezt a számot követi: ezer próbálkozás alatt 0, egymillió alatt 1, 100 millió alatt 2, 10 milliárd alatt 3, az efelett pedig 4 pont jár.

A négy támadási forgatókönyv

A törési idők a becsült próbálkozásszámot elosztják az egyes támadások sebességével:

Az online támadás azt jelenti, hogy valaki kitalált jelszavakat gépel be egy bejelentkezési űrlapba. Az offline támadás adatszivárgás után történik, amikor a támadó másolatot kapott a tárolt jelszókivonatokról, és saját gépein próbálgathat. Az utolsó sor a legrosszabb eset, és az e-mailt, a bankolást vagy a jelszókezelőt védő jelszavaknál ezt érdemes figyelni. Az idők átlagok: a támadónak szerencséje is lehet, és hamarabb célt érhet.

Entrópiabecslés

Az Entrópiabecslés a klasszikus nyers erejű érték: hossz × log2(készletméret), ahol a készlet a használt karaktertípusok összege (26 kisbetű, 26 nagybetű, 10 számjegy, 33 szimbólum, és 100 az egyéb karakterekre, például ékezetes betűkre vagy emodzsikra). A Qwerty123! ezzel a képlettel nagyjából 66 bitet kap, a zxcvbn mégis 0-ra (Nagyon gyenge) értékeli, mert egy billentyűzetsor, utána egy gyakori végződés. Az entrópia csak véletlenszerűen választott jelszavaknál értelmezhető, például jelszógenerátor esetén; az ember által kitalált jelszavaknál a pontszámban és a törési időkben bízz.