Сколько ваш пароль продержится при атаке и что именно делает его слабым
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.Надёжность зависит не от символов, а от того, сколько попыток понадобится злоумышленнику. Инструмент оценивает, сколько продержится ваш пароль, называет шаблон, который его ослабляет, и показывает, что на самом деле дают ещё 4 символа. Пароль проверяется внутри браузера.
Эта страница переведена машинным способом с английского оригинала. Перевод ещё не проверен человеком, поэтому ориентируйтесь на английскую версию. Читать английский оригинал
Введите или вставьте пароль в поле Пароль для проверки; нажмите Показать, если хотите видеть символы.
Посмотрите на шкалу надёжности и карточку Время взлома: они оценивают, сколько времени нужно злоумышленнику.
Добавьте своё имя, адрес почты или название сайта в поле Слова для штрафа, чтобы пароли на их основе получали более низкую оценку.
Нажмите Проверить утечки, чтобы поискать по списку Have I Been Pwned; отправляются только 5 из 40 символов хеша.
Пройдитесь по списку Что исправить, затем нажмите Копировать отчёт, чтобы сохранить результат.
Эта проверка оценивает пароль от 0 до 4 и показывает, сколько он продержится при четырёх реальных атаках: подборе через вход с ограничением попыток и без него, а также взломе украденного хеша, сохранённого медленным или быстрым алгоритмом. Она называет шаблоны, которые ослабляют пароль, например словарные слова, последовательности клавиш, даты и повторы, и подсказывает, что изменить.
Ею пользуются перед тем, как задать мастер-пароль или ключ Wi-Fi, или чтобы показать коллеге, почему Summer2024! — плохая идея, хотя он выполняет все требования формы регистрации. Она также находит проблемы, которые формы пропускают: пробелы в начале или в конце, которые некоторые сайты обрезают, и пароли длиннее 72 байт, которые bcrypt молча усекает.
Оценка выполняется с помощью zxcvbn-ts со словарями английских слов и распространённых паролей и работает в вашем браузере. Пароль никогда не сохраняется, не записывается в журнал и не отправляется. Слова, которые вы добавляете в список штрафа, например своё имя, тоже остаются на странице.
Необязательная проверка утечек — единственная функция этого сайта, которая делает сетевой запрос с данными, полученными из того, что вы вводите, поэтому она выключена, пока вы не нажмёте кнопку. Браузер вычисляет хеш SHA-1 пароля и отправляет в Have I Been Pwned только первые пять из его сорока символов. Сервис возвращает все утёкшие хеши, начинающиеся с этих пяти символов, — несколько сотен, а сравнение выполняется здесь. Ни сервис, ни тот, кто наблюдает за соединением, не узнаёт пароль и даже его полный хеш.
Хороший результат — не повод использовать пароль повторно. Создавайте отдельный пароль для каждого сайта с помощью Password Generator и храните их в менеджере паролей.
Здесь — да. Оценка вычисляется в вашем браузере, а пароль никогда не отправляется, не сохраняется и не записывается в журнал. Только необязательная проверка утечек обращается к другому серверу и отправляет лишь пять символов одностороннего хеша, но не пароль. Если вы всё же предпочитаете этого не делать, проверьте пароль, составленный так же, как ваш.
zxcvbn оценивает, сколько попыток понадобится злоумышленнику, который знает распространённые пароли, слова, имена, даты и шаблоны клавиатуры. Это число делится на четыре скорости подбора: 100 в час для входа с ограничением, 10 в секунду для входа без ограничения, 10 000 в секунду для украденного хеша bcrypt и 10 миллиардов в секунду для украденного хеша MD5 или SHA-1.
Проверка использует k-анонимность. Браузер вычисляет хеш SHA-1 пароля и отправляет в Have I Been Pwned только первые 5 из 40 шестнадцатеричных символов. Сервис отвечает всеми утёкшими хешами, которые начинаются с этих символов, обычно от 800 до 1000, и эта страница ищет ваш в этом списке. Проверка выключена, пока вы не нажмёте кнопку.
Потому что злоумышленники перебирают замены, которые делают люди. P@ssw0rd2024! — словарное слово с предсказуемыми заменами, годом и символом в конце, и программы для взлома проверяют такое за секунды. Длина и непредсказуемость значат гораздо больше, чем символы: четыре случайных слова надёжнее короткого пароля, полного спецсимволов.
К 4, очень надёжный, для почты, менеджера паролей и банка, ведь они открывают доступ ко всему остальному. Оценка 3 допустима для аккаунтов, которые ограничивают попытки входа. Всё, что получает от 0 до 2, можно быстро угадать или взломать после утечки на сайте, поэтому смените такой пароль и не используйте его повторно.
bcrypt, один из самых распространённых способов хранения паролей на сайтах, читает только первые 72 байта. Всё, что дальше, игнорируется, поэтому более длинный пароль на таких сайтах ничего не даёт. Большинство символов занимает один байт, но буквы с диакритикой — два, а хинди или эмодзи — три или четыре, так что предел наступает раньше, чем подсказывает число символов.
Всё ещё не получается? Задайте вопрос об инструменте «Проверка надёжности пароля» и ответить может любой, кто знает. Учётная запись не нужна.