Kontrola sily hesla

Ako skontrolovať heslo

1. Napíš alebo vlož heslo do poľa Heslo na otestovanie. Pole skrýva, čo píšeš; tlačidlom Zobraziť ho uvidíš a tlačidlom Skryť ho znova zamaskuješ.
2. Výsledok sa zobrazuje počas písania. Pruh Sila ide od 0 (Veľmi slabé) po 4 (Veľmi silné).
3. Pozri si tabuľku Odhadovaný čas prelomenia: pre každý zo štyroch scenárov útoku uvádza jednu dobu, od webovej stránky obmedzujúcej počet pokusov o prihlásenie až po ukradnutú databázu, na ktorú útočia grafické karty.
4. Skontroluj Slabé miesta a tipy. Pomenúva problém, ktorý kontrola našla (bežné heslo, vzor na klávesnici, dátum, opakovaná postupnosť…), a navrhuje, ako ho odstrániť.

Heslo sa analyzuje iba na tejto stránke. Nikdy sa neodosiela, neukladá ani nezaznamenáva a pole sa po opustení stránky vymaže. Napriek tomu je najbezpečnejším zvykom testovať heslo, ktoré sa tomu tvojmu podobá, nie to skutočné.

Jazyk: slovníky bežných hesiel a mien sú anglické a francúzske a texty v časti Slabé miesta a tipy sa zobrazujú v angličtine. Slovenské slová a mená kontrola ako slovníkové slová nerozpozná, takže slovenské heslo zložené z bežných slovenských slov môže vyzerať silnejšie, než v skutočnosti je. Rozpozná však vzory na klávesnici, opakovania, postupnosti, dátumy a známe uniknuté heslá.

Ako sa počíta skóre

Tento nástroj používa zxcvbn, open-source odhadovač hesiel, ktorý pôvodne vznikol v Dropboxe (tu v udržiavanej verzii pre TypeScript, zxcvbn-ts). Namiesto počítania veľkých písmen a symbolov uvažuje ako lámač hesiel. Heslo rozdelí na časti a hľadá vzorce, ktoré útočníci skúšajú ako prvé:

• najčastejšie uniknuté heslá, krstné mená, priezviská a časté anglické a francúzske slová, vrátane slov odzadu a náhrad „l33t“ ako p@ssw0rd;
• pohyby po klávesnici ako qwerty, azerty alebo 1qaz2wsx;
• opakované znaky (aaaa), opakované bloky (abcabc) a postupnosti (abcd, 9876);
• dátumy a nedávne roky.

Potom odhadne, koľko pokusov by útočník potreboval na nájdenie celého hesla, čo sa zobrazuje ako Odhadovaný počet pokusov. Skóre vychádza z tohto čísla: menej než tisíc pokusov dá 0, menej než milión 1, menej než 100 miliónov 2, menej než 10 miliárd 3 a všetko nad tým získa 4.

Štyri scenáre útoku

Časy prelomenia vznikajú vydelením odhadovaného počtu pokusov rýchlosťou každého útoku:

Online útok znamená, že niekto píše pokusy do prihlasovacieho formulára. Offline útok nastane po úniku dát, keď má útočník kópiu uložených hašov hesiel a môže skúšať pokusy na vlastnom hardvéri. Posledný riadok je najhorší prípad a treba ho sledovať pri heslách, ktoré chránia e-mail, bankovníctvo alebo správcu hesiel. Časy sú priemery: útočník môže mať šťastie aj skôr.

Odhad entropie

Odhad entropie je klasický údaj pre útok hrubou silou: dĺžka × log2(veľkosť súboru znakov), pričom súbor je súčet použitých typov znakov (26 malých písmen, 26 veľkých, 10 číslic, 33 symbolov a 100 pre iné znaky, napríklad diakritiku alebo emoji). Qwerty123! dostane podľa tohto vzorca približne 66 bitov, no zxcvbn mu dá skóre 0 (Veľmi slabé), pretože ide o rad klávesov s bežnou príponou. Entropia má zmysel iba pri heslách vybraných náhodne, napríklad generátorom hesiel; pri heslách vymyslených človekom sa spoľahni na skóre a časy prelomenia.