Перевірка надійності пароля

Як перевірити пароль

1. Введіть або вставте пароль у полі Пароль для перевірки. Поле приховує введене; натисніть Показати, щоб побачити пароль, і Приховати, щоб знову замаскувати його.
2. Результат з’являється під час введення. Шкала Надійність йде від 0 (Дуже слабкий) до 4 (Дуже надійний).
3. Прочитайте таблицю Орієнтовний час злому: у ній для кожного з чотирьох сценаріїв атаки вказано тривалість, від сайту, що обмежує спроби входу, до викраденої бази, яку атакують відеокартами.
4. Перегляньте Слабкі місця та поради. Там названо проблему, яку знайшла перевірка (поширений пароль, клавіатурний шаблон, дата, повторювана послідовність…), і підказано, як її виправити.

Пароль аналізується лише на цій сторінці. Його ніколи не надсилають, не зберігають і не записують у журнали, а поле очищується, коли ви залишаєте сторінку. Проте найбезпечніша звичка – перевіряти пароль, схожий на ваш, а не справжній.

Словники паролів і слів, за якими перевіряється пароль, англійські та французькі. Українських слів і поширених українських паролів у них немає, тому для слів українською оцінка може бути оптимістичнішою. Підказки в розділі Слабкі місця та поради також видаються англійською мовою.

Як обчислюється оцінка

Цей інструмент використовує zxcvbn, оцінювач паролів із відкритим кодом, створений спочатку в Dropbox (тут у підтримуваній версії на TypeScript, zxcvbn-ts). Замість підрахунку великих літер і символів він мислить як зломщик паролів. Він розбиває пароль на частини й шукає закономірності, які зловмисники пробують першими:

• найпоширеніші викрадені паролі, імена, прізвища та часті англійські й французькі слова, зокрема написані навпаки й із підстановками «l33t», як-от p@ssw0rd;
• клавіатурні ходи, як-от qwerty, azerty або 1qaz2wsx;
• повторювані символи (aaaa), повторювані блоки (abcabc) і послідовності (abcd, 9876);
• дати та нещодавні роки.

Потім він оцінює, скільки спроб знадобиться зловмиснику, щоб знайти весь пароль, і показує це як Орієнтовну кількість спроб. Оцінка залежить від цього числа: менше тисячі спроб дає 0, менше мільйона – 1, менше 100 мільйонів – 2, менше 10 мільярдів – 3, а все, що більше, отримує 4.

Чотири сценарії атаки

Час злому – це орієнтовна кількість спроб, поділена на швидкість кожної атаки:

Онлайн-атака означає, що хтось уводить варіанти у форму входу. Офлайн-атака відбувається після витоку даних, коли зловмисник має копію збережених хешів паролів і може перевіряти варіанти на власному обладнанні. Останній рядок – найгірший випадок, і саме за ним слід стежити для паролів, що захищають пошту, банк чи менеджер паролів. Час наведено як середній: зловмиснику може пощастити раніше.

Оцінка ентропії

Оцінка ентропії – це класична цифра для підбору грубою силою: довжина × log2(розмір пулу), де пул – це сума використаних типів символів (26 малих, 26 великих, 10 цифр, 33 символи та 100 для інших символів, як-от діакритичні знаки чи емодзі). Qwerty123! за цією формулою отримує близько 66 бітів, але zxcvbn оцінює його на 0 (Дуже слабкий), бо це клавіатурний ряд із поширеним закінченням. Ентропія має сенс лише для паролів, обраних випадково, наприклад генератором паролів; для паролів, придуманих людиною, довіряйте оцінці та часу злому.