Test siły hasła

Jak sprawdzić hasło

1. Wpisz lub wklej hasło w pole Hasło do sprawdzenia. Pole ukrywa wpisywane znaki; naciśnij Pokaż, aby je zobaczyć, i Ukryj, aby znów je zamaskować.
2. Wynik pojawia się w trakcie pisania. Pasek Siła ma skalę od 0 (Bardzo słabe) do 4 (Bardzo silne).
3. Przeczytaj tabelę Szacowany czas złamania: podaje jeden czas dla każdego z czterech scenariuszy ataku, od serwisu, który ogranicza próby logowania, po wykradzioną bazę danych atakowaną kartami graficznymi.
4. Sprawdź sekcję Słabe punkty i wskazówki. Wskazuje problem wykryty przez narzędzie (popularne hasło, układ klawiszy, data, powtórzona sekwencja…) i podpowiada, jak go naprawić. Te komunikaty pochodzą z biblioteki zxcvbn i na tej stronie są wyświetlane po angielsku.

Hasło jest analizowane tylko na tej stronie. Nigdy nie jest wysyłane, zapisywane ani logowane, a pole jest czyszczone, gdy opuszczasz stronę. Mimo to najbezpieczniej jest testować hasło podobne do twojego, a nie prawdziwe.

Jak obliczana jest ocena

To narzędzie korzysta z zxcvbn, otwartoźródłowego estymatora siły haseł stworzonego pierwotnie w Dropboksie (tu w utrzymywanej wersji TypeScript, zxcvbn-ts). Zamiast liczyć wielkie litery i symbole, myśli jak program do łamania haseł. Dzieli hasło na fragmenty i szuka wzorców, które atakujący sprawdzają najpierw:

• najczęstsze hasła z wycieków, imiona, nazwiska oraz popularne słowa angielskie i francuskie, także pisane wspak i z podmianami „l33t”, jak p@ssw0rd;
• przejścia po klawiaturze, takie jak qwerty, azerty czy 1qaz2wsx;
• powtórzone znaki (aaaa), powtórzone bloki (abcabc) i sekwencje (abcd, 9876);
• daty i niedawne lata.

Słowniki są angielskie i francuskie: polskie słowa, imiona i nazwiska nie są w nich wykrywane. Hasło takie jak Kasia1990 czy zaq1@WSX zostanie częściowo rozpoznane (data, klawiatura), ale słowo „kasia” już nie, więc ocena takiego hasła może być zbyt optymistyczna. Pamiętaj, że atakujący używają też polskich słowników.

Następnie narzędzie szacuje, ilu prób potrzebowałby atakujący, by znaleźć całe hasło – to pole Szacowana liczba prób. Ocena wynika z tej liczby: poniżej tysiąca prób daje 0, poniżej miliona 1, poniżej 100 milionów 2, poniżej 10 miliardów 3, a wszystko powyżej – 4.

Cztery scenariusze ataku

Czasy złamania to szacowana liczba prób podzielona przez szybkość danego ataku:

Atak online oznacza, że ktoś wpisuje kolejne próby w formularz logowania. Atak offline następuje po wycieku danych, gdy atakujący ma kopię zapisanych skrótów haseł i może sprawdzać próby na własnym sprzęcie. Ostatni wiersz to najgorszy przypadek i właśnie na niego warto patrzeć przy hasłach chroniących pocztę, bankowość lub menedżer haseł. Czasy są średnie: atakujący może trafić wcześniej.

Szacowana entropia

Szacowana entropia to klasyczna wartość dla ataku siłowego: długość × log2(rozmiar puli), gdzie pula to suma użytych rodzajów znaków (26 małych liter, 26 wielkich, 10 cyfr, 33 symbole i 100 dla innych znaków, takich jak polskie litery czy emoji). Qwerty123! dostaje według tego wzoru około 66 bitów, a mimo to zxcvbn ocenia je na 0 (Bardzo słabe), bo to rząd klawiatury z popularną końcówką. Entropia ma sens tylko dla haseł wybranych losowo, np. przez generator haseł; w przypadku haseł wymyślonych przez człowieka ufaj ocenie i czasom złamania.