Passordstyrke-sjekker

Slik sjekker du et passord

1. Skriv eller lim inn passordet i Passord som skal testes. Feltet skjuler det du skriver. Trykk Vis for å se det, og Skjul for å maskere det igjen.
2. Resultatet vises mens du skriver. Linjen Styrke går fra 0 (Svært svak) til 4 (Svært sterk).
3. Les tabellen Anslått tid for å knekke det: den gir én varighet for hvert av fire angrepsscenarioer, fra et nettsted som begrenser påloggingsforsøk til en stjålet database som angripes med grafikkort.
4. Se på Svakheter og tips. Her står problemet sjekkeren fant (et vanlig passord, et tastaturmønster, en dato, en gjentatt sekvens …) og et forslag til hvordan du fikser det. Tipsene vises på engelsk, siden sjekkerens meldinger ikke er oversatt til norsk.

Passordet analyseres bare på denne siden. Det sendes, lagres eller logges aldri, og feltet tømmes når du forlater siden. Likevel er den tryggeste vanen å teste et passord som ligner på ditt, i stedet for det ekte.

Slik beregnes poengsummen

Verktøyet bruker zxcvbn, en åpen kildekode-estimator for passord som opprinnelig ble laget hos Dropbox (her i den vedlikeholdte TypeScript-versjonen zxcvbn-ts). I stedet for å telle store bokstaver og symboler tenker den som en passordknekker. Den deler passordet i biter og leter etter mønstre angripere prøver først:

• de vanligste lekkede passordene, fornavn, etternavn og hyppige engelske og franske ord, også baklengs og med «l33t»-erstatninger som p@ssw0rd;
• tastaturstier som qwerty, azerty eller 1qaz2wsx;
• gjentatte tegn (aaaa), gjentatte blokker (abcabc) og sekvenser (abcd, 9876);
• datoer og nylige årstall.

Deretter anslår den hvor mange gjetninger en angriper ville trenge for å finne hele passordet, vist som Anslåtte gjetninger. Poengsummen følger det tallet: under tusen gjetninger gir 0, under en million 1, under 100 millioner 2, under 10 milliarder 3, og alt over gir 4. Ordlistene dekker engelsk og fransk, ikke norske ord, så vanlige norske ord oppdages ikke like godt som engelske.

De fire angrepsscenarioene

Knekketidene deler det anslåtte antallet gjetninger på farten til hvert angrep:

Et angrep på nett betyr at noen skriver gjetninger inn i et påloggingsskjema. Et frakoblet angrep skjer etter en datalekkasje, når angriperen har en kopi av de lagrede passord-hashene og kan teste gjetninger på eget utstyr. Den siste linjen er det verste tilfellet, og den du bør følge med på for passord som beskytter e-post, nettbank eller en passordbehandler. Tidene er gjennomsnitt: en angriper kan ha flaks og lykkes tidligere.

Entropianslag

Entropianslag er det klassiske tallet for rå makt: lengde × log2(størrelsen på tegnutvalget), der utvalget er summen av tegntypene som brukes (26 små, 26 store, 10 sifre, 33 symboler og 100 for andre tegn som aksenter eller emoji). Qwerty123! får omtrent 66 bit etter denne formelen, men zxcvbn gir den 0 (Svært svak), fordi det er en tastaturrad etterfulgt av en vanlig avslutning. Entropi er bare meningsfull for passord valgt tilfeldig, for eksempel av en passordgenerator. For passord laget av mennesker bør du stole på poengsummen og knekketidene.