Kontrollues i forcës së fjalëkalimit

Si ta kontrollosh një fjalëkalim

1. Shkruaj ose ngjit fjalëkalimin te Fjalëkalimi për test. Fusha e fsheh çfarë shkruan; shtyp Shfaq për ta parë dhe Fshih për ta maskuar sërish.
2. Rezultati shfaqet ndërsa shkruan. Shiriti Forca shkon nga 0 (Shumë i dobët) në 4 (Shumë i fortë).
3. Lexo tabelën Koha e vlerësuar për thyerjen: ajo jep një kohëzgjatje për secilin nga katër skenarët e sulmit, nga një faqe që kufizon përpjekjet e hyrjes te një bazë e vjedhur të dhënash e sulmuar me karta grafike.
4. Shiko Dobësitë dhe këshillat. Emërton problemin që gjeti kontrolluesi (një fjalëkalim i zakonshëm, një model tastiere, një datë, një sekuencë e përsëritur…) dhe sugjeron si ta rregullosh.

Fjalëkalimi analizohet vetëm në këtë faqe. Nuk dërgohet, nuk ruhet dhe nuk regjistrohet kurrë, dhe fusha pastrohet kur largohesh nga faqja. Megjithatë, zakoni më i sigurt është të testosh një fjalëkalim që i ngjan të tijit, jo atë të vërtetin.

Si llogariten pikët

Ky mjet përdor zxcvbn, një vlerësues fjalëkalimesh me kod të hapur i krijuar fillimisht te Dropbox (këtu në versionin e mirëmbajtur TypeScript, zxcvbn-ts). Në vend që të numërojë shkronjat e mëdha dhe simbolet, mendon si një thyes fjalëkalimesh. E ndan fjalëkalimin në pjesë dhe kërkon modelet që sulmuesit i provojnë të parat:

• fjalëkalimet më të zakonshme të rrjedhura, emrat dhe mbiemrat, si dhe fjalët e shpeshta angleze e frënge, përfshirë fjalët e kthyera mbrapsht dhe zëvendësimet “l33t” si p@ssw0rd;
• shtigjet e tastierës si qwerty, azerty ose 1qaz2wsx;
• karakteret e përsëritura (aaaa), blloqet e përsëritura (abcabc) dhe sekuencat (abcd, 9876);
• datat dhe vitet e fundit.

Pastaj vlerëson sa hamendësime do t’i duheshin një sulmuesi për të gjetur të gjithë fjalëkalimin, të shfaqura te Hamendësimet e vlerësuara. Pikët ndjekin këtë numër: nën një mijë hamendësime jep 0, nën një milion 1, nën 100 milionë 2, nën 10 miliardë 3, dhe çdo gjë mbi kaq merr 4.

Fjalorët e mjetit janë anglisht dhe frëngjisht. Fjalët e zakonshme shqipe, emrat shqiptarë dhe shprehjet shqipe nuk njihen si fjalor, prandaj një fjalëkalim i ndërtuar nga fjalë shqipe mund të duket më i fortë nga sa është në të vërtetë. Përveç kësaj, mesazhet te Dobësitë dhe këshillat vijnë nga zxcvbn dhe shfaqen në anglisht.

Katër skenarët e sulmit

Kohët e thyerjes e ndajnë numrin e vlerësuar të hamendësimeve me shpejtësinë e secilit sulm:

Sulm online do të thotë që dikush shkruan hamendësime në një formular hyrjeje. Sulm offline ndodh pas një shkeljeje të dhënash, kur sulmuesi ka një kopje të hash-eve të ruajtura të fjalëkalimeve dhe mund t’i provojë hamendësimet në pajisjet e veta. Rreshti i fundit është rasti më i keq, dhe është ai që duhet ndjekur për fjalëkalimet që mbrojnë emailin, bankën ose një menaxher fjalëkalimesh. Kohët janë mesatare: një sulmues mund të ketë fat dhe ta gjejë më herët.

Vlerësimi i entropisë

Vlerësimi i entropisë është shifra klasike e forcës brutale: gjatësia × log2(madhësia e grupit), ku grupi është shuma e llojeve të karaktereve të përdorura (26 të vogla, 26 të mëdha, 10 shifra, 33 simbole dhe 100 për karaktere të tjera si theksat ose emoji). Qwerty123! merr rreth 66 bit sipas kësaj formule, por zxcvbn i jep 0 (Shumë i dobët) sepse është një rresht tastiere i ndjekur nga një prapashtesë e zakonshme. Entropia ka kuptim vetëm për fjalëkalimet e zgjedhura rastësisht, për shembull nga një gjenerator fjalëkalimesh; për fjalëkalimet e bëra nga njeriu, mbështetu te pikët dhe kohët e thyerjes.