Lösenordskontroll

Så kontrollerar du ett lösenord

1. Skriv eller klistra in lösenordet i Lösenord att testa. Fältet döljer det du skriver. Tryck på Visa för att se det och på Dölj för att maskera det igen.
2. Resultatet visas medan du skriver. Stapeln Styrka går från 0 (Mycket svagt) till 4 (Mycket starkt).
3. Läs tabellen Uppskattad tid att knäcka: den ger en tid för vart och ett av fyra angreppsscenarier, från en webbplats som begränsar inloggningsförsök till en stulen databas som angrips med grafikkort.
4. Titta på Svagheter och tips. Där anges problemet som kontrollen hittade (ett vanligt lösenord, ett tangentbordsmönster, ett datum, en upprepad följd …) och hur du kan rätta till det.

Lösenordet analyseras bara på den här sidan. Det skickas, sparas eller loggas aldrig, och fältet töms när du lämnar sidan. Ändå är det säkraste att testa ett lösenord som liknar ditt i stället för ditt riktiga.

Språk: ordlistor och tips

Kontrollen jämför ditt lösenord med ordlistor på engelska och franska (vanliga lösenord, namn och ord). Svenska ord och namn finns inte i någon särskild svensk ordlista, så ett lösenord som bygger på ett svenskt ord kan få en något högre poäng än det förtjänar. Tipsen under Svagheter och tips visas på engelska.

Så beräknas poängen

Verktyget använder zxcvbn, en uppskattare av lösenord med öppen källkod som ursprungligen skapades på Dropbox (här i den underhållna TypeScript-versionen zxcvbn-ts). I stället för att räkna versaler och symboler tänker den som en lösenordsknäckare. Den delar upp lösenordet i bitar och letar efter mönster som angripare provar först:

• de vanligaste läckta lösenorden, förnamn, efternamn och vanliga engelska och franska ord, även baklänges och med ”l33t”-ersättningar som p@ssw0rd;
• tangentbordsmönster som qwerty, azerty eller 1qaz2wsx;
• upprepade tecken (aaaa), upprepade block (abcabc) och följder (abcd, 9876);
• datum och senaste årtal.

Sedan uppskattar den hur många gissningar en angripare skulle behöva för att hitta hela lösenordet, vilket visas som Uppskattat antal gissningar. Poängen följer det talet: under tusen gissningar ger 0, under en miljon 1, under 100 miljoner 2, under 10 miljarder 3, och allt över det får 4.

De fyra angreppsscenarierna

Knäcktiderna delar det uppskattade antalet gissningar med hastigheten för varje angrepp:

Ett angrepp online innebär att någon skriver in gissningar i ett inloggningsformulär. Ett angrepp offline sker efter ett dataintrång, när angriparen har en kopia av de lagrade lösenordshasharna och kan testa gissningar på sin egen hårdvara. Sista raden är värsta fallet, och den ska du titta på för lösenord som skyddar e-post, bank eller en lösenordshanterare. Tiderna är medelvärden: en angripare kan ha tur och lyckas tidigare.

Uppskattad entropi

Uppskattad entropi är den klassiska siffran för brute force: längd × log2(poolens storlek), där poolen är summan av de teckentyper som används (26 gemener, 26 versaler, 10 siffror, 33 symboler och 100 för andra tecken som accenter eller emojis). Qwerty123! får ungefär 66 bitar enligt den formeln, men zxcvbn ger det 0 (Mycket svagt) eftersom det är en tangentbordsrad följd av ett vanligt tillägg. Entropi är bara meningsfull för lösenord som valts slumpmässigt, till exempel av en lösenordsgenerator. För lösenord som människor har hittat på ska du lita på poängen och knäcktiderna.