Parooli tugevuse kontroll

Sinu parool ei lahku kunagi sinu seadmest. Kuidas privaatsus säilib

Kontrollitav parool

Proovi:

Vaata, kui kaua selle lahtimurdmine aega võtaks ja kas see on lekkinud.

Tasuta parooli tugevuse kontroll

Parooli tugevuse kontroll näitab, kui turvaline sinu parool on. Sisesta või kleebi see ülalolevale väljale, et näha, kui tugev see on, kui kaua selle lahtimurdmine aega võtaks ja kas see kuulub miljoni kõige sagedamini lekkinud parooli hulka. Kõik toimub sisestamise ajal sinu brauseris ja parool ei lahku kunagi sellest seadmest.

Kui lõpetad sisestamise, otsitakse parooli ka teenuse Have I Been Pwned loendist Pwned Passwords, saates ainult 5 märki räsitud sõrmejäljest, mitte kunagi parooli ennast. Vaata täpselt, mida saadetakse.

Liigu jaotisse: Mida tulemus tähendab · Mida saadetakse · Kui parool on nõrk · Küsimused

Mida tulemus tähendab

Enamikku paroole ei murta nii, et keegi sisestab sisselogimislehel oletusi. Veebisaidile murtakse sisse, sinna salvestatud paroolid varastatakse ja ründajad proovivad oma arvutites selle loendi paroole ära arvata nii kiiresti, kui nende riistvara võimaldab. Kontrolli näidatud aeg eeldab, et paroole püüab täiskiirusel ära arvata 1 000 graafikakaarti, ning selle aja järgi määratakse tugevustase:

Väga tugev: Miljon aastat või rohkem; Piisavalt tugev kõigeks, mida see kontroll hinnata suudab, kui parool on juhuslik ja ainulaadne
Tugev: Alla miljoni aasta; Sobib enamikule kontodele, kui see on ainulaadne
Rahuldav: Alla 100 aasta; Vaheta see järgmisel sisselogimisel välja
Nõrk: Alla aasta; Muuda see kohe kõikjal, kus seda kasutad

Näib tugev, aga pole

Enamik parooli tugevuse kontrollijaid arvestab pikkust ja märgitüüpe, mistõttu saab parool nagu P@ssw0rd2024! neilt hea hinnangu. Paroolimurdmise tööriistad aga ei loenda märke, vaid proovivad inimeste kasutatavaid mustreid, ja teevad seda esimesena. Siin on selle kontrollija hinnangud mõnele pealtnäha korralikule paroolile:

P@ssw0rd2024!LekkinudSõna, sarnase välimusega märkide asendused, aastaarv ja sümbol: leitud andmeleketest umbes 500 korda
Password123!LekkinudAndmeleketest leitud umbes 300 000 korda
Liverpool1892LekkinudMeeskond ja selle asutamisaasta: umbes 27 000 korda
k7#Rq!9vT$2m@LxVäga tugevJuhuslik: murdmiseks kulub 31 miljonit aastat

Andmelekkest leitud parool ei ole turvaline, olenemata selle tugevusest, sest ründajad proovivad kõigepealt lekkinud paroole. Parooli tugevuse kontroll võib näidata, et parool on nõrk, kuid ei saa tõestada, et see on turvaline.

Allikad: Graafikakaartide jõudlustestid (hashcat), zxcvbn (USENIX Security), NIST-i paroolijuhised, NIST kvantarvutusest. Sõnaloendid pärinevad Hermit Dave'i projektist FrequencyWords, litsents CC BY-SA 4.0.

Mida lekete kontrollimisel saadetakse

Iga märgi sisestamisel ei saadeta midagi. Kui lõpetad sisestamise või kleebid parooli, toimub järgmine üks kord. Näitena kasutame parooli password:

Sisestad paroolipasswordjääb sinu seadmesse
Sinu brauser arvutab sellest SHA-1 räsi5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8jääb sinu seadmesse
Teenusele Have I Been Pwned saadetakse ainult esimesed 5 märki5BAA6saadetakse
Teenus saadab tagasi kõik sama algusega lekkinud paroolide räsid, umbes 2 000, mille hulka on segatud võltsräsidsinu brauser otsib vastet

Teenus ei näe kunagi parooli ega selle täielikku räsi, seega ei saa see teada, millist neist 2 000 paroolist kontrollisid.

Kiire lekkekontroll toimub sinu seadmes. Leht laadib ühe korra alla kompaktse loendi miljoni enim lekkinud parooli räsidest, nii et sisestamise ajal kontrollimiseks pole vaja ühtegi päringut saata. Eksliku vaste tõenäosus on umbes üks miljonist.
Üks päring parooli kohta, mitte kunagi iga klahvivajutuse kohta. Kontroll ootab, kuni lõpetad sisestamise. Kui parool on juba seadmes olevas loendis, ei saadeta midagi. Parooli väikeste muudatuste korral (kirjavea parandamine, mõne märgi lisamine) kontrollitakse kõige rohkem kaks korda: peaaegu identsete päringute võrdlemine võib parooli paljastada. Mõned kontrollivahendid saadavad päringu iga klahvivajutuse järel ning need päringud koos paljastavad parooli märkhaaval.
Midagi ei salvestata. Parooli ei salvestata kunagi, seda ei lisata aadressiribale ja see kaob, kui lehelt lahkud.
Kontrolli ise. Ava oma brauseri arendajatööriistades vahekaart Võrk ja sisesta midagi: midagi ei saadeta välja enne, kui lõpetad sisestamise. Seejärel näed üht päringut aadressile api.pwnedpasswords.com, mille lõpus on need 5 märki, mida näidatakse selles jaotises. Või katkesta internetiühendus: kõik peale täieliku lekkekontrolli töötab edasi.

Lekkinud paroolide andmed: teenuse Have I Been Pwned Pwned Passwords, mida kasutatakse litsentsi Creative Commons Attribution 4.0 alusel.

Kui sinu parool on nõrk või lekkinud

Muuda see igal saidil, kus seda kasutad, alustades oma e-posti kontost, sest e-posti kaudu saab teiste kontode paroole lähtestada.
Loo uus parool, selle asemel et vana kohendada. Märgi lisamine või 1 asendamine 2-ga on esimene asi, mida ründajad proovivad. Loo juhuslik parool või paroolifraas.
Kasuta paroolihaldurit, et igal kontol saaks olla oma parool, ilma et peaksid ühtegi neist meeles pidama.
Lülita sisse kaheastmeline kinnitamine kõikjal, kus seda pakutakse. See kaitseb kontot ka siis, kui parool lekib.

Korduma kippuvad küsimused

Milline paroolikontrollija on kõige turvalisem?

Selline, mis ei saada sisestamise ajal midagi välja ja laseb sul selles ise veenduda. Sellel lehel toimub parooli tugevuse kontroll ja võrdlus miljoni enim lekkinud parooliga sinu seadmes. Kõiki lekkeid hõlmav kontroll ootab, kuni lõpetad sisestamise, ja saadab ühe korra välja ainult sõrmejälje 5 märki. Saad seda jälgida brauseri arendajatööriistade vahekaardil Võrk või internetiühenduse katkestada ja veenduda, et kontroll töötab edasi.

Kuidas kontrollida, kas mu parool on lekkinud?

Sisesta või kleebi see ülalolevale väljale. Kui see kuulub miljoni enim lekkinud parooli hulka, näed seda kohe. Kui lõpetad sisestamise, kontrollitakse ka kõiki teadaolevaid lekkeid. Kui parool esineb mõnes lekkes, lõpeta selle kasutamine.

Kas Have I Been Pwned on turvaline?

Jah, paroolide kontrollimiseks küll. Selle paroolikontroll on üles ehitatud nii, et teenus ei saa kunagi sinu parooli: brauser saadab ainult parooli digitaalse sõrmejälje esimesed 5 märki ja teeb lõpliku võrdluse ise. See leht palub vastusesse lisada ka näivkirjeid, nii et isegi vastuse suurus ei reeda midagi.

Millist parooli on kõige rohkem häkitud?

123456, mida on andmeleketest leitud üle 210 miljoni korra. Sellele järgnevad 123456789, 12345678, password ja qwerty (Have I Been Pwned andmetel). Kõik, mis inimesele kiiresti pähe tuleb, on juba neis loendites olemas.

Kas saad tuua näite tugevast paroolist?

Ükski avaldatud näidisparool ei ole enam tugev, sest see on nüüd parooliloendites olemas. Isegi xkcd koomiksist pärit correcthorsebatterystaple on leketes esinenud tuhandeid kordi. Tugev parool on loodud juhuslikult just sinu jaoks: kasuta parooligeneraatorit või paroolifraasigeneraatorit.

Kui kaua võtaks mu parooli lahtimurdmine aega?

Sisesta see ülalolevale väljale ja kontroll näitab keskmist aega, mis kuluks 1 000 graafikakaardil varastatud parooliloendist sinu parooli täiskiirusel äraarvamiseks. Just sellise olukorraga tasub arvestada. Juhuslik 8-märgiline parool murtakse sekunditega, juhusliku 16-märgilise parooli murdmiseks kulub umbes 3 miljardit aastat.

Miks näitavad teised kontrollivahendid pikemaid aegu?

Iga kontrollivahend peab eeldama, millised võimalused ründajal on, kuid enamik ei ütle, mida nad eeldavad. Paljud lähtuvad veebisaidist, mis salvestab paroole tahtlikult aeglase meetodiga, nii et sekundis saab proovida vaid tuhandeid variante. Mõned kasutavad aastatetaguseid graafikakaartide kiirusi ning mõned arvestavad ainult pikkust, jättes märkamata sellised mustrid nagu sõnad ja kuupäevad. Meie lähtume karmimast olukorrast ja ütleme seda selgelt: varastatud parooliloendi paroole püüab täiskiirusel ära arvata 1 000 graafikakaarti. Paljude korralikult hallatud veebisaitide paroolide murdmine on sellest palju aeglasem, kuid sina ei saa teada, kumba tüüpi sait on. Seepärast käsitle meie näidatud aegu halvima võimaliku olukorrana, millega arvestada.

Miks näidatakse ka pikka parooli nõrgana?

Sest paroolimurdmise tööriistad ei arva tähti ükshaaval ära. Need proovivad terveid sõnu, nimesid, kohanimesid, kuupäevi ja levinud paroole, seejärel ühendavad neid ja lisavad numbreid. LiverpoolFootball1892 sisaldab 21 märki, kuid paroolimurdmise tööriista jaoks on see kaks levinud sõna ja aastaarv: umbes sada miljonit katset, mille üks graafikakaart teeb ära vähem kui sekundiga. Pikkusest on abi ainult siis, kui märgid on ettearvamatud, nagu juhuslikus paroolis või juhuslikest sõnadest koosnevas paroolifraasis.

Kust näen, millised mu salvestatud paroolid on lekkinud?

Sinu paroolihaldur saab neid kõiki korraga kontrollida. Ava iPhone’is või Macis rakendus „Paroolid“ ja vaata jaotist „Turve“. Chrome’is on Google’i paroolihalduril paroolikontrolli funktsioon. NordPass, Bitwarden, 1Password ja enamik teisi paroolihaldureid pakuvad sarnast aruannet.

Kui pikk peaks parool olema?

Vähemalt 16 juhuslikku märki või seitse juhuslikku sõna. USA standardiamet NIST juhendab veebisaite lubama vähemalt 64 märgi pikkuseid paroole ja nõudma vähemalt 15 märki, kui parool on ainus asi, mis kontot kaitseb.

Keel