Verificare putere parolă

Cum verifici o parolă

1. Scrie sau lipește parola în Parola de testat. Câmpul ascunde ce scrii; apasă Arată ca să vezi parola și Ascunde ca s-o maschezi din nou.
2. Rezultatul apare pe măsură ce scrii. Bara Putere merge de la 0 (Foarte slabă) la 4 (Foarte puternică).
3. Citește tabelul Timp estimat de spargere: oferă o durată pentru fiecare dintre cele patru scenarii de atac, de la un site care limitează încercările de autentificare până la o bază de date furată, atacată cu plăci video.
4. Verifică Puncte slabe și sfaturi. Numește problema găsită de verificator (o parolă comună, un tipar de tastatură, o dată, o secvență repetată…) și sugerează cum o poți remedia. Mesajele din această secțiune sunt afișate în engleză; dicționarele de parole comune sunt cele în engleză și în franceză, deci parolele comune românești nu sunt recunoscute ca atare.

Parola este analizată doar în această pagină. Nu este trimisă, salvată sau înregistrată niciodată, iar câmpul este golit când părăsești pagina. Chiar și așa, cel mai sigur obicei este să testezi o parolă asemănătoare cu a ta, nu parola ta reală.

Cum se calculează scorul

Acest instrument folosește zxcvbn, un estimator open-source de parole creat inițial la Dropbox (aici în versiunea lui TypeScript întreținută, zxcvbn-ts). În loc să numere literele mari și simbolurile, gândește ca un spărgător de parole. Împarte parola în bucăți și caută tiparele pe care atacatorii le încearcă primele:

• cele mai comune parole scurse, prenume, nume de familie și cuvinte frecvente în engleză și în franceză, inclusiv cuvinte scrise invers și substituții „l33t”, precum p@ssw0rd;
• deplasări pe tastatură, precum qwerty, azerty sau 1qaz2wsx;
• caractere repetate (aaaa), blocuri repetate (abcabc) și secvențe (abcd, 9876);
• date și ani recenți.

Apoi estimează câte încercări ar avea nevoie un atacator ca să găsească întreaga parolă, afișat la Încercări estimate. Scorul urmează acest număr: sub o mie de încercări dă 0, sub un milion dă 1, sub 100 de milioane dă 2, sub 10 miliarde dă 3, iar orice peste aceasta primește 4.

Cele patru scenarii de atac

Timpii de spargere împart numărul estimat de încercări la viteza fiecărui atac:

Un atac online înseamnă că cineva tastează încercări într-un formular de autentificare. Un atac offline are loc după o scurgere de date, când atacatorul are o copie a hash-urilor de parole stocate și poate testa încercări pe propriul hardware. Ultima linie este cazul cel mai rău și este cea de urmărit pentru parolele care protejează e-mailul, banca sau un manager de parole. Timpii sunt medii: un atacator poate avea noroc mai repede.

Entropia estimată

Entropie estimată este cifra clasică pentru atacul prin forță brută: lungime × log2(dimensiunea setului), unde setul este suma tipurilor de caractere folosite (26 de litere mici, 26 de litere mari, 10 cifre, 33 de simboluri și 100 pentru alte caractere, precum diacriticele sau emoji). Qwerty123! primește aproximativ 66 de biți după această formulă, dar zxcvbn îi dă scorul 0 (Foarte slabă), pentru că este un rând de tastatură urmat de un sufix comun. Entropia are sens doar pentru parolele alese la întâmplare, de exemplu de un generator de parole; pentru parolele făcute de oameni, bazează-te pe scor și pe timpii de spargere.