Styrkleikamæling lykilorða

Svona athugarðu lykilorð

1. Sláðu inn eða límdu lykilorðið í Lykilorð til að prófa. Reiturinn felur það sem þú skrifar; ýttu á Sýna til að sjá það og Fela til að dylja það aftur.
2. Niðurstaðan birtist um leið og þú skrifar. Stikan Styrkleiki nær frá 0 (Mjög veikt) til 4 (Mjög sterkt).
3. Lestu töfluna Áætlaður tími til að brjóta: hún gefur einn tíma fyrir hvert af fjórum árásarsviðum, frá vef sem takmarkar innskráningartilraunir til stolins gagnagrunns sem ráðist er á með skjákortum.
4. Skoðaðu Veikleikar og ráð. Þar kemur fram vandamálið sem fannst (algengt lykilorð, lyklaborðsmynstur, dagsetning, endurtekin runa …) og tillaga að lagfæringu.

Lykilorðið er aðeins greint á þessari síðu. Það er aldrei sent, vistað eða skráð í annál og reiturinn er hreinsaður þegar þú yfirgefur síðuna. Samt sem áður er öruggast að prófa lykilorð sem líkist þínu frekar en það raunverulega.

Athugaðu að orðabækur athugunarinnar eru á ensku og frönsku, og ábendingarnar í Veikleikar og ráð birtast á ensku. Íslensk orð finnast því ekki sem orð í orðabókum, en lengd, endurtekningar, lyklaborðsmynstur og dagsetningar eru greind á hvaða tungumáli sem er.

Hvernig einkunnin er reiknuð

Þetta verkfæri notar zxcvbn, opinn hugbúnað til að meta lykilorð sem var upphaflega búinn til hjá Dropbox (hér í viðhaldinni TypeScript-útgáfu, zxcvbn-ts). Í stað þess að telja hástafi og tákn hugsar það eins og lykilorðabrjótur. Það skiptir lykilorðinu í búta og leitar að mynstrum sem árásaraðilar prófa fyrst:

• algengustu lykilorð sem hafa lekið, fornöfn, eftirnöfn og tíð ensk og frönsk orð, þar á meðal orð aftur á bak og „l33t“ staðgengla eins og p@ssw0rd;
• lyklaborðsraðir eins og qwerty, azerty eða 1qaz2wsx;
• endurtekna stafi (aaaa), endurtekna bálka (abcabc) og runur (abcd, 9876);
• dagsetningar og nýleg ártöl.

Síðan metur það hve margar ágiskanir árásaraðili þyrfti til að finna allt lykilorðið, sýnt sem Áætlaðar ágiskanir. Einkunnin fylgir þeirri tölu: undir þúsund ágiskunum gefur 0, undir milljón 1, undir 100 milljónum 2, undir 10 milljörðum 3 og allt þar fyrir ofan fær 4.

Fjögur árásarsvið

Tímarnir eru reiknaðir með því að deila áætluðum fjölda ágiskana með hraða hverrar árásar:

Árás á netinu þýðir að einhver slær ágiskanir inn í innskráningarform. Árás án nettengingar gerist eftir gagnaleka, þegar árásaraðilinn hefur afrit af vistuðum tætigildum lykilorða og getur prófað ágiskanir á eigin vélbúnaði. Síðasta línan er versta tilvikið og sú sem þarf að horfa á fyrir lykilorð sem verja tölvupóst, netbanka eða lykilorðastjóra. Tímarnir eru meðaltöl: árásaraðili getur haft heppnina með sér og náð árangri fyrr.

Mat á entropíu

Mat á entropíu er klassíska formúlan fyrir að prófa allt: lengd × log2(stærð potts), þar sem potturinn er summa þeirra gerða stafa sem eru notaðar (26 lágstafir, 26 hástafir, 10 tölustafir, 33 tákn og 100 fyrir aðra stafi eins og broddstafi eða emoji). Qwerty123! fær um 66 bita samkvæmt þessari formúlu, en zxcvbn gefur því samt 0 (Mjög veikt) því það er lyklaborðsröð með algengri endingu. Entropía hefur aðeins merkingu fyrir lykilorð sem eru valin af handahófi, til dæmis með lykilorðaframleiðanda; fyrir lykilorð sem menn búa til skaltu treysta einkunninni og tímunum.