Jak długo hasło wytrzymałoby atak i co dokładnie je osłabia
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.Siła hasła nie zależy od symboli, tylko od liczby prób potrzebnych atakującemu. Narzędzie szacuje, jak długo hasło by wytrzymało, wskazuje wzorzec, który je osłabia, i pokazuje, co naprawdę dają 4 dodatkowe znaki. Hasło jest sprawdzane w przeglądarce.
Ta strona została przetłumaczona maszynowo z angielskiego oryginału. Tłumaczenie nie zostało jeszcze sprawdzone przez człowieka, dlatego wiążąca jest wersja angielska. Przeczytaj angielski oryginał
Wpisz lub wklej hasło w polu Hasło do sprawdzenia; kliknij Pokaż, aby zobaczyć znaki.
Odczytaj wskaźnik siły i kartę Czas złamania, które szacują, ile czasu potrzebowałby atakujący.
Dodaj swoje imię, e-mail lub nazwę serwisu w polu Słowa do ukarania, aby hasła z nich zbudowane dostawały niższą ocenę.
Kliknij Sprawdź wycieki, aby przeszukać listę Have I Been Pwned; wysyłanych jest tylko 5 z 40 znaków skrótu.
Przejdź przez listę Co poprawić, a potem kliknij Kopiuj raport, aby zachować wynik.
Narzędzie ocenia hasło w skali od 0 do 4 i podaje, jak długo wytrzymałoby cztery prawdziwe ataki: zgadywanie przy logowaniu z ograniczeniem prób i bez niego oraz łamanie wykradzionego skrótu zapisanego wolnym lub szybkim algorytmem. Wskazuje wzorce, które osłabiają hasło, takie jak słowa ze słownika, ciągi klawiszy, daty i powtórzenia, oraz podpowiada, co zmienić.
Korzysta się z niego przed ustawieniem hasła głównego lub klucza Wi-Fi albo by pokazać współpracownikowi, dlaczego Summer2024! to zły pomysł, choć spełnia wszystkie wymagania formularza rejestracji. Wychwytuje też problemy, które formularze pomijają: spacje na początku lub końcu, które niektóre serwisy usuwają, oraz hasła dłuższe niż 72 bajty, które bcrypt po cichu obcina.
Ocena korzysta z zxcvbn-ts ze słownikami angielskimi i popularnych haseł i działa w przeglądarce. Hasło nigdy nie jest zapisywane, logowane ani wysyłane. Słowa dodane do listy kar, na przykład imię, również zostają na stronie.
Opcjonalne sprawdzenie wycieków to jedyna funkcja serwisu, która wykonuje połączenie sieciowe z czymś pochodzącym z wpisanego tekstu, dlatego jest wyłączona do chwili kliknięcia. Przeglądarka oblicza skrót SHA-1 hasła i wysyła do Have I Been Pwned tylko pierwsze pięć z jego czterdziestu znaków. Serwis zwraca wszystkie ujawnione skróty zaczynające się od tych pięciu znaków, kilkaset, a dopasowanie odbywa się tutaj. Ani serwis, ani nikt obserwujący połączenie nie poznaje hasła ani nawet jego pełnego skrótu.
Dobry wynik nie upoważnia do ponownego użycia hasła. Dla każdego serwisu należy wygenerować osobne hasło w Password Generator i przechowywać je w menedżerze haseł.
Tutaj tak. Ocena jest obliczana w przeglądarce, a hasło nigdy nie jest wysyłane, zapisywane ani logowane. Tylko opcjonalne sprawdzenie wycieków łączy się z innym serwerem i wysyła wyłącznie pięć znaków jednokierunkowego skrótu, nigdy hasło. Jeśli mimo to wolisz tego nie robić, można sprawdzić hasło zbudowane w ten sam sposób.
zxcvbn szacuje, ilu prób potrzebowałby atakujący znający popularne hasła, słowa, imiona, daty i wzorce klawiatury. Ta liczba jest dzielona przez cztery tempa zgadywania: 100 na godzinę przy logowaniu z ograniczeniem, 10 na sekundę bez ograniczenia, 10 000 na sekundę dla wykradzionego skrótu bcrypt i 10 miliardów na sekundę dla wykradzionego skrótu MD5 lub SHA-1.
Sprawdzenie korzysta z k-anonimowości. Przeglądarka oblicza skrót SHA-1 hasła i wysyła do Have I Been Pwned tylko pierwsze 5 z 40 znaków szesnastkowych. Serwis odpowiada wszystkimi ujawnionymi skrótami zaczynającymi się od tych znaków, zwykle od 800 do 1000, a ta strona szuka na tej liście twojego. Sprawdzenie jest wyłączone do chwili kliknięcia.
Ponieważ atakujący próbują zamian, które stosują ludzie. P@ssw0rd2024! to słowo ze słownika z przewidywalnymi zamianami, rokiem i symbolem na końcu, które narzędzia do łamania sprawdzają w kilka sekund. Długość i nieprzewidywalność znaczą znacznie więcej niż symbole: cztery losowe słowa wygrywają z krótkim hasłem pełnym znaków specjalnych.
4, czyli bardzo silne, dla poczty, menedżera haseł i bankowości, bo otwierają dostęp do wszystkiego innego. Ocena 3 wystarcza dla kont, które ograniczają liczbę prób logowania. Wszystko z oceną od 0 do 2 da się szybko odgadnąć lub złamać, gdy serwis padnie ofiarą wycieku, więc należy je zmienić i nie używać ponownie.
bcrypt, jeden z najczęstszych sposobów przechowywania haseł przez serwisy internetowe, czyta tylko pierwsze 72 bajty. Wszystko dalej jest pomijane, więc dłuższe hasło nic w tych serwisach nie zyskuje. Większość znaków zajmuje jeden bajt, ale litery z akcentami zajmują dwa, a hindi lub emoji trzy lub cztery, więc limit przychodzi wcześniej, niż sugeruje liczba znaków.
Nadal coś nie działa? Zapytaj o narzędzie Sprawdzanie siły hasła a odpowiedzieć może każdy, kto zna odpowiedź. Konto nie jest potrzebne.