PassGen.co

Jezik

Provjera jačine lozinke

Vaša lozinka nikad ne napušta vaš uređaj. Kako se čuva privatnost

Isprobajte:

  • Saznajte koliko bi trebalo da se lozinka probije i je li procurila.

Besplatna provjera jačine lozinke

Provjerite koliko je vaša lozinka sigurna. Upišite je ili zalijepite iznad da biste vidjeli koliko je jaka, koliko bi vremena trebalo da se probije i je li među milijun najčešće procurjelih lozinki. Sve se odvija u vašem pregledniku dok tipkate, a lozinka nikad ne napušta ovaj uređaj.

Kad prestanete tipkati, alat provjerava lozinku i na popisu Pwned Passwords servisa Have I Been Pwned, pri čemu šalje samo 5 znakova kriptografskog sažetka, nikad samu lozinku. Pogledajte što se točno šalje.

Prijeđite na: Što rezultat znači · Što se šalje · Ako je lozinka slaba · Pitanja

Što rezultat znači

Većina lozinki ne probija se tako da netko upisuje moguće lozinke na stranici za prijavu. Napadači provale u web-stranicu, ukradu pohranjene lozinke i zatim na vlastitim računalima isprobavaju moguće lozinke uspoređujući ih s ukradenim popisom, onoliko brzo koliko im oprema dopušta. Vrijeme koje alat prikazuje odnosi se na 1.000 grafičkih kartica koje isprobavaju lozinke punom brzinom, a prema tom se vremenu određuje razina:

Vrlo jaka
Milijun godina ili više
Dovoljno jaka za sve što ovaj alat može procijeniti, ako je nasumična i jedinstvena
Jaka
Manje od milijun godina
Dovoljno dobra za većinu računa, ako je jedinstvena
Osrednja
Manje od 100 godina
Zamijenite je pri sljedećoj prijavi
Slaba
Manje od godinu dana
Promijenite je odmah, svugdje gdje je koristite

Izgleda jaka, ali nije

Većina alata za provjeru gleda duljinu i vrste znakova, pa lozinku poput P@ssw0rd2024! ocjenjuje visoko. Alati za probijanje lozinki ne broje znakove, nego najprije isprobavaju obrasce kojima se ljudi služe. Evo kako ovaj alat ocjenjuje neke lozinke koje naizgled djeluju dobro:

  • P@ssw0rd2024!ProcurilaRiječ, zamjene sličnim znakovima, godina i simbol: pronađena u curenjima podataka oko 500 puta
  • Password123!ProcurilaPronađena u curenjima podataka oko 300.000 puta
  • Liverpool1892ProcurilaKlub i godina njegova osnutka: oko 27.000 puta
  • k7#Rq!9vT$2m@LxVrlo jakaNasumična: 31 milijun godina za probijanje

Lozinka pronađena u curenju podataka nije sigurna bez obzira na svoju jačinu jer napadači prvo isprobavaju procurjele lozinke. Alat za provjeru može pokazati da je lozinka slaba, ali ne može dokazati da je sigurna.

Izvori: Testovi brzine grafičkih kartica (hashcat), zxcvbn (USENIX Security), NIST-ove smjernice za lozinke, NIST o kvantnom računalstvu. Popisi riječi iz projekta FrequencyWords autora Hermita Davea, CC BY-SA 4.0.

Što se šalje pri provjeri curenja podataka

Dok upisujete pojedine znakove, ne šalje se ništa. Kad prestanete tipkati ili zalijepite lozinku, jednom se događa sljedeće, na primjeru lozinke password:

  1. Upisujete lozinkupasswordostaje na vašem uređaju
  2. Vaš je preglednik pretvara u SHA-1 otisak5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8ostaje na vašem uređaju
  3. Samo prvih 5 znakova šalje se servisu Have I Been Pwned5BAA6šalje se
  4. Servis vraća sve otiske procurjelih lozinki koji počinju na isti način, njih oko 2.000, pomiješane s lažnim otiscimavaš preglednik traži podudaranje

Servis nikad ne vidi lozinku ni njezin puni otisak pa ne može znati koji ste od tih 2.000 otisaka provjerili.

  • Brza provjera procurjelih lozinki odvija se na vašem uređaju. Stranica samo jednom preuzima sažet popis otisaka milijun lozinki koje su najčešće procurile, pa provjera tijekom tipkanja uopće ne zahtijeva slanje zahtjeva. Vjerojatnost lažnog podudaranja iznosi otprilike jedan naprema milijun.
  • Jedan zahtjev po lozinci, nikad pri svakom pritisku tipke. Provjera čeka da prestanete tipkati. Ako je lozinka već na popisu pohranjenom na uređaju, ništa se ne šalje, a male promjene lozinke (ispravljen pogrešno upisan znak, nekoliko dodanih znakova) provjeravaju se najviše dvaput: usporedba gotovo identičnih provjera mogla bi otkriti lozinku. Neki alati šalju zahtjev za provjeru pri svakom pritisku tipke, a ti zahtjevi zajedno otkrivaju lozinku znak po znak.
  • Ništa se ne zadržava. Lozinka se nikad ne pohranjuje, nikad se ne upisuje u adresnu traku i nestaje kad napustite stranicu.
  • Provjerite sami. Otvorite karticu Mreža u razvojnim alatima svojeg preglednika i tipkajte: ništa se ne šalje dok ne prestanete tipkati. Tada ćete vidjeti jedan zahtjev prema api.pwnedpasswords.com, čija adresa završava s 5 znakova prikazanih u ovom odjeljku. Ili prekinite internetsku vezu: sve osim potpune provjere curenja podataka nastavlja raditi.

Podaci o procurjelim lozinkama: Pwned Passwords servisa Have I Been Pwned, koriste se pod licencom Creative Commons Imenovanje 4.0.

Ako je vaša lozinka slaba ili je procurila

  • Promijenite je na svakoj stranici na kojoj je koristite, počevši od e-pošte jer putem nje možete poništiti lozinke za sve ostale račune.
  • Izradite novu lozinku umjesto da mijenjate staru. Dodavanje znaka ili zamjena 1 s 2 prvo je što napadači pokušavaju. Izradite nasumičnu lozinku ili pristupnu frazu.
  • Koristite upravitelj lozinki kako bi svaki račun mogao imati vlastitu lozinku, a da nijednu ne morate pamtiti.
  • Uključite provjeru u dva koraka gdje god je dostupna. Ona štiti račun čak i ako lozinka procuri.

Česta pitanja

Koji je alat za provjeru lozinki najsigurniji?

Onaj koji ne šalje ništa dok tipkate i omogućuje vam da to sami provjerite. Ova stranica na vašem uređaju provjerava jačinu lozinke i nalazi li se ona među milijun lozinki koje su najčešće procurile, a potpuna provjera curenja čeka da prestanete tipkati i šalje samo 5 znakova kriptografskog sažetka, samo jednom. To možete pratiti na kartici Mreža u pregledniku ili prekinuti internetsku vezu i uvjeriti se da alat za provjeru i dalje radi.

Kako mogu provjeriti je li moja lozinka procurila?

Upišite je ili zalijepite iznad. Ako je među milijun lozinki koje su najčešće procurile, to ćete odmah vidjeti. Kad prestanete tipkati, alat provjerava i sva poznata curenja. Ako se pojavi u bilo kojem od njih, prestanite je upotrebljavati.

Je li sigurno koristiti Have I Been Pwned?

Da, za provjeru lozinki. Provjera lozinki osmišljena je tako da ta usluga nikad ne primi vašu lozinku: vaš preglednik šalje samo prvih 5 znakova digitalnog otiska lozinke, a završnu usporedbu obavlja sam. Ova stranica traži i dodavanje lažnih unosa u odgovor kako ni njegova veličina ne bi ništa otkrila.

Koja se lozinka najčešće pojavljuje u curenjima podataka?

123456, pronađena u curenjima podataka više od 210 milijuna puta, a slijede 123456789, 12345678, password i qwerty (prema podacima usluge Have I Been Pwned). Sve čega se netko može brzo sjetiti već je na popisima.

Možete li mi dati primjer jake lozinke?

Nijedan primjer koji ste vidjeli javno objavljen više nije jaka lozinka jer se sada nalazi na popisima. Čak se i correcthorsebatterystaple iz stripa xkcd pojavila u curenjima podataka tisućama puta. Jaka lozinka stvorena je nasumično, samo za vas: upotrijebite generator lozinki ili generator pristupnih fraza.

Koliko bi trebalo da se probije moja lozinka?

Upišite je iznad i alat će prikazati prosječno vrijeme potrebno za probijanje uz 1.000 grafičkih kartica koje punom brzinom isprobavaju moguće lozinke uspoređujući ih s ukradenim popisom. To je scenarij na koji se vrijedi pripremiti. Nasumična lozinka od 8 znakova probije se za nekoliko sekundi, a za nasumičnu lozinku od 16 znakova potrebne su oko 3 milijarde godina.

Zašto drugi alati za provjeru prikazuju dulja vremena?

Svaki alat za provjeru mora pretpostaviti kakve mogućnosti napadač ima, a većina ne navodi tu pretpostavku. Mnogi pretpostavljaju da web-stranica pohranjuje lozinke na način koji namjerno usporava provjeru, pa je moguće isprobati samo nekoliko tisuća lozinki u sekundi. Neki koriste brzine grafičkih kartica od prije više godina, a neki uzimaju u obzir samo duljinu i ne prepoznaju obrasce poput riječi i datuma. Mi prikazujemo nepovoljniji scenarij i to jasno kažemo: ukradeni popis lozinki koji napadači pokušavaju probiti uz 1.000 grafičkih kartica koje rade punom brzinom. Za probijanje lozinki s mnogih dobro održavanih web-stranica treba mnogo više vremena, ali ne možete znati kojoj skupini neka stranica pripada. Zato naša vremena shvatite kao najgori slučaj na koji se trebate pripremiti.

Zašto se duga lozinka i dalje prikazuje kao slaba?

Zato što alati za probijanje lozinki ne pogađaju slovo po slovo. Isprobavaju cijele riječi, imena, nazive mjesta, datume i česte lozinke, a zatim ih spajaju i dodaju brojeve. LiverpoolFootball1892 ima 21 znak, ali za alat za probijanje to su dvije česte riječi i godina: oko sto milijuna pokušaja, koje jedna grafička kartica odradi za manje od jedne sekunde. Duljina pomaže samo kad su znakovi nepredvidivi, kao u nasumičnoj lozinci ili lozinci od riječi sastavljenoj od nasumičnih riječi.

Gdje mogu vidjeti koje su od mojih spremljenih lozinki ugrožene?

Vaš upravitelj lozinki može ih sve provjeriti odjednom. Na iPhoneu ili Macu otvorite aplikaciju Lozinke i pogledajte odjeljak Sigurnost. U pregledniku Chrome Googleov upravitelj lozinki nudi Provjeru lozinki. NordPass, Bitwarden, 1Password i većina drugih upravitelja lozinki ima slično izvješće.

Koliko bi lozinka trebala biti duga?

Najmanje 16 nasumičnih znakova ili sedam nasumičnih riječi. NIST, američka agencija za standarde, preporučuje da web-stranice prihvaćaju lozinke duljine najmanje 64 znaka i zahtijevaju najmanje 15 znakova kad je lozinka jedina zaštita računa.

Više alata