Provera jačine lozinke

Kako da proveriš lozinku

1. Upiši ili nalepi lozinku u Lozinka za proveru. Polje sakriva ono što kucaš; pritisni Prikaži da vidiš lozinku, a Sakrij da je ponovo prekriješ.
2. Rezultat se pojavljuje dok kucaš. Traka Jačina ide od 0 (Veoma slaba) do 4 (Veoma jaka).
3. Pročitaj tabelu Procenjeno vreme probijanja: daje jedno trajanje za svaki od četiri scenarija napada, od sajta koji ograničava pokušaje prijave do ukradene baze koju napadaju grafičke kartice.
4. Pogledaj Slabosti i saveti. Navodi problem koji je alat našao (uobičajena lozinka, obrazac na tastaturi, datum, ponovljen niz…) i predlaže kako da ga ispraviš.

Lozinka se analizira samo na ovoj stranici. Nikada se ne šalje, ne čuva i ne beleži, a polje se briše kad napustiš stranicu. Ipak, najbezbednija navika je da proveravaš lozinku koja liči na tvoju, a ne pravu.

Jezik: rečnici i saveti

Rečnici lozinki obuhvataju engleske i francuske reči, imena i često korišćene lozinke. Srpski rečnik nije uključen, pa se srpske reči, imena i izrazi ne prepoznaju kao poznati obrasci i ocena može biti optimističnija nego što bi bila sa srpskim rečnikom. Poruke u odeljku Slabosti i saveti dolaze iz biblioteke zxcvbn i prikazuju se na engleskom jeziku.

Kako se računa ocena

Alat koristi zxcvbn, procenjivač lozinki otvorenog koda koji je prvobitno nastao u Dropboxu (ovde u održavanoj TypeScript verziji, zxcvbn-ts). Umesto da broji velika slova i simbole, razmišlja kao onaj ko probija lozinke. Deli lozinku na delove i traži obrasce koje napadači isprobavaju prvo:

• najčešće procurele lozinke, imena, prezimena i česte engleske i francuske reči, uključujući obrnute reči i zamene „l33t“ kao p@ssw0rd;
• šetnje po tastaturi kao qwerty, azerty ili 1qaz2wsx;
• ponovljene znakove (aaaa), ponovljene blokove (abcabc) i nizove (abcd, 9876);
• datume i skorije godine.

Zatim procenjuje koliko bi pokušaja napadaču trebalo da pronađe celu lozinku, što se prikazuje kao Procenjen broj pokušaja. Ocena prati taj broj: ispod hiljadu pokušaja daje 0, ispod milion 1, ispod 100 miliona 2, ispod 10 milijardi 3, a sve iznad dobija 4.

Četiri scenarija napada

Vremena probijanja dele procenjeni broj pokušaja brzinom svakog napada:

Napad na mreži znači da neko upisuje pokušaje u obrazac za prijavu. Napad van mreže se dešava posle curenja podataka, kad napadač ima kopiju sačuvanih heševa lozinki i može da isprobava pokušaje na sopstvenom hardveru. Poslednji red je najgori slučaj i na njega treba obratiti pažnju kod lozinki koje štite imejl, bankarstvo ili menadžer lozinki. Vremena su proseci: napadač može da ima sreće i ranije.

Procena entropije

Procena entropije je klasična brojka za grubu silu: dužina × log2(veličina skupa), gde je skup zbir korišćenih vrsta znakova (26 malih slova, 26 velikih, 10 cifara, 33 simbola i 100 za ostale znakove kao što su dijakritici ili emodži). Qwerty123! po ovoj formuli dobija oko 66 bitova, a ipak ga zxcvbn ocenjuje sa 0 (Veoma slaba), jer je to red na tastaturi praćen uobičajenim nastavkom. Entropija ima smisla samo za lozinke izabrane nasumično, na primer pomoću generatora lozinki; za lozinke koje su smislili ljudi veruj oceni i vremenima probijanja.