Slaptažodžio stiprumo tikrinimas

Kaip patikrinti slaptažodį

1. Įvesk arba įklijuok slaptažodį į lauką Tikrinamas slaptažodis. Laukas paslepia tai, ką rašai; spustelėk Rodyti, kad pamatytum, ir Slėpti, kad vėl paslėptum.
2. Rezultatas rodomas tau rašant. Stiprumas juosta eina nuo 0 (Labai silpnas) iki 4 (Labai stiprus).
3. Perskaityk lentelę Numatomas laužimo laikas: joje pateikta po vieną trukmę keturiems atakos scenarijams, nuo svetainės, kuri riboja prisijungimo bandymus, iki pavogtos duomenų bazės, atakuojamos vaizdo plokštėmis.
4. Peržiūrėk Silpnybės ir patarimai. Čia įvardijama tikrintuvo rasta problema (dažnas slaptažodis, klaviatūros šablonas, data, pasikartojanti seka…) ir pasiūloma, kaip ją ištaisyti.

Slaptažodis analizuojamas tik šiame puslapyje. Jis niekada nesiunčiamas, neišsaugomas ir nežurnalinamas, o laukas išvalomas palikus puslapį. Vis dėlto saugiausia testuoti slaptažodį, panašų į tavo, o ne tikrąjį.

Svarbu: kalba

Slaptažodžių žodynai (dažniausi nutekėję slaptažodžiai, vardai, pavardės ir dažni žodžiai) yra anglų ir prancūzų kalbomis, o lietuviškų žodžių žodyno nėra. Todėl lietuviškas žodis ar vardas, pavyzdžiui, „Vilnius2024“, gali būti įvertintas kaip stipresnis, nei yra iš tikrųjų: užpuolikai jų gali spėlioti pagal lietuviškus sąrašus. Klaviatūros šablonai, datos, pasikartojimai ir sekos aptinkami nepriklausomai nuo kalbos. Silpnybių ir patarimų tekstai kyla iš zxcvbn bibliotekos ir rodomi anglų kalba.

Kaip skaičiuojamas įvertis

Šis įrankis naudoja zxcvbn, atvirojo kodo slaptažodžių įvertinimo bibliotekę, iš pradžių sukurtą „Dropbox“ (čia – prižiūrima TypeScript versija zxcvbn-ts). Užuot skaičiavusi didžiąsias raides ir simbolius, ji mąsto kaip slaptažodžių laužytojas. Ji skaido slaptažodį dalimis ir ieško šablonų, kuriuos užpuolikai bando pirmiausia:

• dažniausi nutekėję slaptažodžiai, vardai, pavardės ir dažni anglų bei prancūzų žodžiai, įskaitant atvirkščiai parašytus žodžius ir „l33t“ pakeitimus, pvz., p@ssw0rd;
• klaviatūros keliai, pvz., qwerty, azerty ar 1qaz2wsx;
• pasikartojantys simboliai (aaaa), pasikartojantys blokai (abcabc) ir sekos (abcd, 9876);
• datos ir pastarieji metai.

Tada ji apskaičiuoja, kiek spėjimų užpuolikui reikėtų visam slaptažodžiui rasti, ir rodo tai kaip Numatomas spėjimų skaičius. Įvertis seka šį skaičių: mažiau nei tūkstantis spėjimų duoda 0, mažiau nei milijonas – 1, mažiau nei 100 milijonų – 2, mažiau nei 10 milijardų – 3, o viskas aukščiau įvertinama 4.

Keturi atakos scenarijai

Laužimo laikai gaunami numatomą spėjimų skaičių padalijus iš kiekvienos atakos greičio:

Ataka internetu reiškia, kad kažkas spėjimus renka į prisijungimo formą. Ataka neprisijungus vyksta po duomenų nutekėjimo, kai užpuolikas turi saugomų slaptažodžių maišų kopiją ir gali bandyti spėjimus savo įranga. Paskutinė eilutė yra blogiausias atvejis, ir į ją reikia žiūrėti slaptažodžiams, saugantiems el. paštą, banką ar slaptažodžių tvarkyklę. Laikai yra vidurkiai: užpuolikui gali pasisekti anksčiau.

Entropijos įvertis

Entropijos įvertis yra klasikinis grubios jėgos skaičius: ilgis × log2(rinkinio dydis), kur rinkinys yra naudojamų simbolių tipų suma (26 mažosios, 26 didžiosios, 10 skaitmenų, 33 simboliai ir 100 kitiems simboliams, pvz., diakritikams ar jaustukams). Qwerty123! pagal šią formulę gauna apie 66 bitus, tačiau zxcvbn įvertina jį 0 (Labai silpnas), nes tai klaviatūros eilutė su dažna pabaiga. Entropija prasminga tik atsitiktinai parinktiems slaptažodžiams, pavyzdžiui, sugeneruotiems slaptažodžių generatoriumi; žmogaus sugalvotiems slaptažodžiams pasitikėk įverčiu ir laužimo laikais.