Wachtwoordsterkte testen

Zo test je een wachtwoord

1. Typ of plak het wachtwoord in Te testen wachtwoord. Het veld verbergt wat je typt; druk op Tonen om het te zien en op Verbergen om het weer te maskeren.
2. Het resultaat verschijnt terwijl je typt. De balk Sterkte loopt van 0 (Zeer zwak) tot 4 (Zeer sterk).
3. Bekijk de tabel Geschatte tijd om te kraken: die geeft één duur voor elk van vier aanvalsscenario’s, van een website die inlogpogingen beperkt tot een gestolen database die met videokaarten wordt aangevallen.
4. Lees Zwakke punten en tips. Daar staat welk probleem de controle heeft gevonden (een veelgebruikt wachtwoord, een toetsenbordpatroon, een datum, een herhaalde reeks…) en hoe je het oplost.

Het wachtwoord wordt alleen op deze pagina geanalyseerd. Het wordt nooit verzonden, opgeslagen of gelogd, en het veld wordt leeggemaakt als je de pagina verlaat. Toch is het de veiligste gewoonte om een wachtwoord te testen dat op het jouwe lijkt, in plaats van je echte wachtwoord.

Hoe de score wordt berekend

Deze tool gebruikt zxcvbn, een opensource-schatter van wachtwoordsterkte die oorspronkelijk bij Dropbox is ontwikkeld (hier in de onderhouden TypeScript-versie, zxcvbn-ts). In plaats van hoofdletters en symbolen te tellen, denkt hij als een wachtwoordkraker. Hij splitst het wachtwoord in stukken en zoekt naar patronen die aanvallers als eerste proberen:

• de meest gelekte wachtwoorden, voornamen, achternamen en veelvoorkomende Engelse en Franse woorden, ook omgekeerd en met “l33t”-vervangingen zoals p@ssw0rd;
• toetsenbordreeksen zoals qwerty, azerty of 1qaz2wsx;
• herhaalde tekens (aaaa), herhaalde blokken (abcabc) en reeksen (abcd, 9876);
• datums en recente jaartallen.

Daarna schat hij hoeveel pogingen een aanvaller nodig heeft om het hele wachtwoord te vinden, weergegeven als Geschat aantal pogingen. De score volgt dat getal: minder dan duizend pogingen geeft 0, minder dan een miljoen 1, minder dan 100 miljoen 2, minder dan 10 miljard 3, en alles daarboven krijgt een 4.

Beperkingen voor het Nederlands

De woordenboeken bevatten Engelse en Franse woorden, plus internationale lijsten met gelekte wachtwoorden en namen; er is geen Nederlands woordenboek. Een wachtwoord dat gewoon een Nederlands woord is, zoals zomervakantie2024, wordt daardoor misschien niet als woord herkend en kan sterker lijken dan het is: echte aanvallers gebruiken wel Nederlandse woordenlijsten. De meldingen onder Zwakke punten en tips komen rechtstreeks uit zxcvbn en worden in het Engels getoond.

De vier aanvalsscenario’s

De kraaktijden delen het geschatte aantal pogingen door de snelheid van elke aanval:

Bij een online aanval probeert iemand wachtwoorden in een inlogformulier. Een offline aanval vindt plaats na een datalek, als de aanvaller een kopie van de opgeslagen wachtwoordhashes heeft en pogingen op eigen hardware kan testen. De laatste regel is het slechtste geval, en die is belangrijk voor wachtwoorden die je e-mail, bankzaken of wachtwoordmanager beschermen. De tijden zijn gemiddelden: een aanvaller kan eerder geluk hebben.

Entropieschatting

De Geschatte entropie is het klassieke brute-forcegetal: lengte × log2(grootte van de tekenvoorraad), waarbij de voorraad de som is van de gebruikte soorten tekens (26 kleine letters, 26 hoofdletters, 10 cijfers, 33 symbolen en 100 voor overige tekens zoals accenten of emoji). Qwerty123! krijgt volgens deze formule ongeveer 66 bits, maar zxcvbn geeft het een 0 (Zeer zwak), omdat het een toetsenbordrij is met een veelgebruikte toevoeging. Entropie heeft alleen betekenis voor willekeurig gekozen wachtwoorden, bijvoorbeeld uit een wachtwoord generator; vertrouw bij zelfbedachte wachtwoorden op de score en de kraaktijden.