Preverjanje moči gesla

Kako preveriti geslo

1. Vtipkaj ali prilepi geslo v Geslo za preizkus. Polje skrije, kar tipkaš; s Pokaži ga vidiš, s Skrij ga spet prekriješ.
2. Rezultat se prikaže med tipkanjem. Vrstica Moč gre od 0 (Zelo šibko) do 4 (Zelo močno).
3. Preberi tabelo Ocenjeni čas razbitja: za vsakega od štirih scenarijev napada poda en čas, od spletnega mesta, ki omejuje poskuse prijave, do ukradene zbirke, napadene z grafičnimi karticami.
4. Preglej Slabosti in nasveti. Poimenuje težavo, ki jo je preverjalnik našel (pogosto geslo, vzorec na tipkovnici, datum, ponovljeno zaporedje …), in predlaga, kako jo odpraviti. Sporočila o slabostih so v angleščini, ker jih ustvarja knjižnica zxcvbn.

Geslo se analizira samo na tej strani. Nikoli se ne pošlje, shrani ali zabeleži, polje pa se počisti, ko zapustiš stran. Kljub temu je najvarnejša navada, da preizkusiš geslo, ki je podobno tvojemu, ne pa pravega.

Kako se izračuna ocena

To orodje uporablja zxcvbn, odprtokodni ocenjevalnik gesel, ki je izvirno nastal pri Dropboxu (tu v vzdrževani različici TypeScript, zxcvbn-ts). Namesto štetja velikih črk in simbolov razmišlja kot razbijalec gesel. Geslo razdeli na dele in išče vzorce, ki jih napadalci poskusijo najprej:

• najpogostejša uhajena gesla, imena, priimki in pogoste angleške ter francoske besede, vključno z obrnjenimi besedami in zamenjavami »l33t«, kot je p@ssw0rd;
• sprehode po tipkovnici, kot so qwerty, azerty ali 1qaz2wsx;
• ponovljene znake (aaaa), ponovljene bloke (abcabc) in zaporedja (abcd, 9876);
• datume in nedavna leta.

Nato oceni, koliko poskusov bi napadalec potreboval za iskano celotno geslo, kar je prikazano kot Ocenjeno število poskusov. Ocena sledi tej številki: pod tisoč poskusov da 0, pod milijon 1, pod 100 milijonov 2, pod 10 milijard 3, vse nad tem pa 4. Slovarji gesel so angleški in francoski; slovenskih pogostih besed orodje posebej ne pozna, zato ocena za gesla iz slovenskih besed temelji predvsem na dolžini in vzorcih.

Štirje scenariji napada

Časi razbitja delijo ocenjeno število poskusov s hitrostjo vsakega napada:

Spletni napad pomeni, da nekdo tipka poskuse v prijavni obrazec. Napad brez povezave se zgodi po vdoru v podatke, ko ima napadalec kopijo shranjenih zgoščenih gesel in lahko poskuse preizkuša na lastni strojni opremi. Zadnja vrstica je najslabši primer in jo je treba opazovati pri geslih, ki ščitijo e-pošto, bančništvo ali upravitelj gesel. Časi so povprečja: napadalec ima lahko tudi srečo in uspe prej.

Ocena entropije

Ocena entropije je klasična številka grobe sile: dolžina × log2(velikost nabora), kjer je nabor vsota uporabljenih vrst znakov (26 malih črk, 26 velikih črk, 10 števk, 33 simbolov in 100 za druge znake, kot so naglasi ali emojiji). Qwerty123! po tej formuli dobi približno 66 bitov, a zxcvbn ga oceni z 0 (Zelo šibko), ker je vrstica tipkovnice s pogosto končnico. Entropija je smiselna samo za naključno izbrana gesla, na primer iz generatorja gesel; pri gesli, ki jih je sestavil človek, zaupaj oceni in časom razbitja.