Miernik siły hasła

Za co nagradza wynik z listy kontrolnej

Werdykt pochodzi z prostego wyniku od 0 do 6. Każdy z tych warunków dodaje jeden punkt:

Sama długość odpowiada za trzy z sześciu punktów, ponieważ długość jest największym pojedynczym czynnikiem realnej siły hasła.

Jak szacowane są entropia i czas złamania

Entropia to liczba bitów potrzebnych do opisania hasła, gdyby każdy znak był losowy: length × log2(alphabet size). Rozmiar alfabetu sumuje użyte klasy: 26 dla małych liter, 26 dla wielkich liter, 10 dla cyfr i 33 dla popularnych symboli, więc hasło używające wszystkich czterech czerpie z 95 możliwych znaków.

Szacunek czasu złamania zakłada atakującego działającego offline, który ma już wykradziony skrót (hash) i może wykonać około 10 miliardów (10^10) prób na sekundę na szybkich konsumenckich kartach GPU. Ta wartość odpowiada słabym, szybkim skrótom, takim jak MD5 czy SHA-1. Celowo wolne skróty, takie jak bcrypt lub Argon2, obniżają to tempo milionokrotnie, więc to samo hasło jest znacznie bezpieczniejsze tam, gdzie są one używane.

Co ten miernik sprawdza, a czego nie sprawdza

• Sprawdza długość, obecne klasy znaków, surową entropię w bitach oraz szacowany na jej podstawie czas złamania.
• Nie sprawdza hasła względem słowników, list wyciekłych haseł, sekwencji klawiaturowych (qwerty, 1qaz2wsx) ani popularnych podstawień (p@ssw0rd). Hasło może przejść każdy test klas znaków, a i tak być trywialne do odgadnięcia, jeśli jest znanym słowem lub hasłem z wycieku.

Traktuj wynik jak dolną granicę, a nie gwarancję: mówi ci, że hasło jest za krótkie lub za proste, ale wysoki wynik nie dowodzi, że hasło jest nieprzewidywalne.

Co naprawdę czyni hasło silnym

1. Najpierw długość. Każdy dodatkowy znak jest wart więcej niż jakakolwiek inna pojedyncza zmiana. Losowe hasło o długości 14 znaków za każdym razem bije złożone hasło 8-znakowe.
2. Losowość. Ludzie tworzą w głowie kiepską entropię. Pozwól, by znaki wybrał generator.
3. Rozłóż różnorodność. Umieszczaj cyfry i symbole w dowolnym miejscu, a nie tylko doklejone na końcu, gdzie łamacze haseł się ich spodziewają.
4. Jedno hasło na jedną stronę. Silne hasło użyte ponownie w 50 kontach jest tylko tak bezpieczne, jak najsłabsza strona, która je przechowuje.

Bezpieczne zalecenie

• Używaj menedżera haseł, aby tworzyć i przechowywać unikalne, losowe hasło o długości ponad 16 znaków dla każdej strony.
• Używaj frazy hasłowej złożonej z 5 do 8 losowych słów dla tych nielicznych haseł, które musisz wpisywać ręcznie, na przykład hasła głównego do menedżera.
• Włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne.
• Sprawdź pwnedpasswords.com, zanim dalej będziesz ponownie używać jakiegokolwiek hasła, ponieważ ten miernik nie widzi, czy Twoje hasło już wyciekło.