Slaptažodžio stiprumo tikrintuvas

Jūsų slaptažodis niekada nepalieka jūsų įrenginio. Kaip užtikrinamas privatumas

Tikrinamas slaptažodis

Išbandykite:

Sužinokite, kiek užtruktų jį nulaužti ir ar jis buvo nutekintas.

Nemokama slaptažodžio stiprumo patikra

Patikrinkite, kiek saugus jūsų slaptažodis. Įveskite arba įklijuokite jį aukščiau ir sužinokite, koks jo stiprumas, kiek laiko prireiktų jam nulaužti ir ar jis yra tarp milijono dažniausiai nutekėjusių slaptažodžių. Viskas vyksta jūsų naršyklėje, kol rašote, o slaptažodis niekada neišsiunčiamas iš šio įrenginio.

Kai nustojate rašyti, įrankis taip pat patikrina, ar slaptažodis yra Have I Been Pwned sąraše „Pwned Passwords“. Siunčiami tik 5 slaptažodžio maišos simboliai, o pats slaptažodis niekada nesiunčiamas. Sužinokite, kas tiksliai siunčiama.

Pereiti prie: Ką reiškia rezultatas · Kas siunčiama · Jei slaptažodis silpnas · Klausimai

Ką reiškia rezultatas

Dauguma slaptažodžių nulaužiami ne įvedant spėjimus prisijungimo puslapyje. Įsilaužus į svetainę, pavagiami joje saugomi slaptažodžiai, o užpuolikai savo kompiuteriuose bando atspėti pavogto sąrašo slaptažodžius taip greitai, kaip leidžia jų įranga. Tikrinimo įrankio rodomas laikas apskaičiuotas darant prielaidą, kad spėlioja 1 000 vaizdo plokščių, veikiančių visu pajėgumu. Pagal šį laiką nustatomas stiprumo lygis:

Labai stiprus: Milijonas metų ar daugiau; Pakankamai stiprus viskam, ką gali įvertinti šis tikrinimo įrankis, jei yra atsitiktinis ir unikalus
Stiprus: Mažiau nei milijonas metų; Tinka daugumai paskyrų, jei unikalus
Vidutinis: Mažiau nei 100 metų; Pakeiskite kitą kartą prisijungę
Silpnas: Mažiau nei metai; Pakeiskite dabar visur, kur jį naudojate

Atrodo stiprus, bet toks nėra

Dauguma tikrinimo įrankių vertina slaptažodžio ilgį ir simbolių įvairovę, todėl tokį slaptažodį kaip P@ssw0rd2024! įvertina palankiai. Slaptažodžių laužimo įrankiai neskaičiuoja – jie pirmiausia išbando žmonių naudojamus šablonus. Štai kaip šis įrankis vertina kelis iš pažiūros gerus slaptažodžius:

P@ssw0rd2024!NutekėjęsŽodis, į panašius simbolius pakeistos raidės, metai ir specialusis simbolis: nutekėjusiuose duomenyse rastas apie 500 kartų
Password123!NutekėjęsNutekėjusiuose duomenyse rastas apie 300 000 kartų
Liverpool1892NutekėjęsKomandos pavadinimas ir jos įkūrimo metai: apie 27 000 kartų
k7#Rq!9vT$2m@LxLabai stiprusAtsitiktinis: nulaužti prireiktų 31 milijono metų

Nutekėjusiuose duomenyse rastas slaptažodis yra nesaugus, kad ir koks stiprus būtų, nes užpuolikai pirmiausia išbando nutekėjusius slaptažodžius. Tikrinimo įrankis gali parodyti, kad slaptažodis silpnas, bet negali įrodyti, kad jis saugus.

Šaltiniai: Vaizdo plokščių našumo testai (hashcat), zxcvbn (USENIX Security), NIST slaptažodžių gairės, NIST apie kvantinius skaičiavimus. Žodžių sąrašai iš Hermit Dave projekto FrequencyWords, CC BY-SA 4.0.

Kas siunčiama tikrinant, ar slaptažodis nutekėjęs

Įvedant kiekvieną simbolį, nesiunčiama nieko. Kai nustojate rašyti arba įklijuojate slaptažodį, vieną kartą atliekami šie veiksmai (pavyzdyje naudojamas slaptažodis password):

Įvedate slaptažodįpasswordlieka jūsų įrenginyje
Jūsų naršyklė paverčia jį SHA-1 skaitmeniniu atspaudu5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8lieka jūsų įrenginyje
Į Have I Been Pwned siunčiami tik pirmieji 5 simboliai5BAA6išsiunčiama
Paslauga grąžina visus taip pat prasidedančius nutekėjusių slaptažodžių atspaudus, apie 2 000, sumaišytus su fiktyviais įrašaisjūsų naršyklė ieško atitikmens

Paslauga niekada nemato nei slaptažodžio, nei viso jo atspaudo, todėl negali nustatyti, kurį iš tų 2 000 tikrinote.

Greitasis patikrinimas, ar slaptažodis nutekėjęs, vyksta jūsų įrenginyje. Puslapis vieną kartą atsisiunčia glaustą milijono dažniausiai nutekėjusių slaptažodžių atspaudų sąrašą, todėl tikrinant, kol rašote, nereikia siųsti jokių užklausų. Klaidingo atitikmens tikimybė – maždaug viena iš milijono.
Viena užklausa vienam slaptažodžiui, o ne kiekvienam klavišo paspaudimui. Tikrinimas pradedamas tik tada, kai nustojate rašyti. Jei slaptažodis jau yra įrenginyje saugomame sąraše, nesiunčiama nieko, o šiek tiek pakeisti slaptažodžio variantai (pataisius rašybos klaidą ar pridėjus kelis simbolius) tikrinami ne daugiau kaip du kartus: palyginus beveik vienodas užklausas, būtų galima atskleisti slaptažodį. Kai kurie tikrinimo įrankiai siunčia užklausą kaskart paspaudus klavišą, todėl šios užklausos kartu atskleidžia slaptažodį po vieną simbolį.
Niekas neišsaugoma. Slaptažodis niekada neišsaugomas, niekada neįrašomas į adreso juostą ir dingsta išėjus iš puslapio.
Patikrinkite patys. Atverkite naršyklės kūrėjų įrankių skirtuką „Tinklas“ ir pradėkite rašyti: niekas nesiunčiama, kol nenustojate rašyti. Tada pamatysite vieną užklausą į api.pwnedpasswords.com, kurios adresas baigiasi 5 simboliais, rodomais šiame skyriuje. Arba atsijunkite nuo interneto: viskas, išskyrus visų nutekėjimų tikrinimą, veiks toliau.

Nutekėjusių slaptažodžių duomenys: Have I Been Pwned paslauga Pwned Passwords, naudojama pagal Creative Commons Priskyrimo 4.0 licenciją.

Jei jūsų slaptažodis silpnas arba nutekėjęs

Pakeiskite jį visose svetainėse, kuriose jį naudojate, pradėdami nuo el. pašto, nes per jį galima atkurti prieigą prie kitų paskyrų.
Sukurkite naują slaptažodį, užuot šiek tiek pakeitę senąjį. Pridėti simbolį ar pakeisti 1 į 2 – tokius variantus užpuolikai išbando pirmiausia. Sukurkite atsitiktinį slaptažodį arba slaptafrazę.
Naudokite slaptažodžių tvarkyklę, kad kiekviena paskyra turėtų atskirą slaptažodį ir jums nereikėtų jų įsiminti.
Įjunkite patvirtinimą dviem veiksmais visur, kur ši galimybė siūloma. Jis apsaugo paskyrą net ir nutekėjus slaptažodžiui.

Dažniausiai užduodami klausimai

Kokia slaptažodžių tikrinimo priemonė yra saugiausia?

Toks, kuris nieko nesiunčia, kol rašote, ir leidžia tuo įsitikinti. Šis puslapis jūsų įrenginyje tikrina slaptažodžio stiprumą ir ar jis yra tarp milijono dažniausiai nutekėjusių slaptažodžių. Visų nutekėjimų tikrinimas pradedamas tik tada, kai nustojate rašyti, ir vieną kartą siunčiami tik 5 maišos simboliai. Tai galite stebėti naršyklės skirtuke „Tinklas“ arba atsijungti nuo interneto ir įsitikinti, kad tikrinimo priemonė veikia toliau.

Kaip patikrinti, ar mano slaptažodis nutekėjo?

Įveskite arba įklijuokite jį aukščiau. Jei jis yra tarp milijono dažniausiai nutekėjusių slaptažodžių, tai pamatysite iš karto. Kai nustojate rašyti, taip pat patikrinami visi žinomi duomenų nutekėjimai. Jei slaptažodis aptinkamas bent viename iš jų, nebenaudokite jo.

Ar saugu naudotis „Have I Been Pwned“?

Taip, slaptažodžiams tikrinti saugu. Šios paslaugos slaptažodžių tikrinimas sukurtas taip, kad ji niekada negautų jūsų slaptažodžio: naršyklė siunčia tik pirmuosius 5 slaptažodžio maišos simbolius, o galutinį palyginimą atlieka pati. Šis puslapis taip pat prašo į atsakymą įtraukti fiktyvių įrašų, kad net atsakymo dydis nieko neatskleistų.

Kuris slaptažodis nulaužiamas dažniausiai?

123456 – jis aptiktas nutekėjusiuose duomenyse daugiau nei 210 milijonų kartų. Po jo eina 123456789, 12345678, password ir qwerty („Have I Been Pwned“ duomenys). Viskas, ką žmogus gali greitai sugalvoti, jau yra sąrašuose.

Ar galite pateikti stipraus slaptažodžio pavyzdį?

Bet kuris viešai paskelbtas pavyzdys nebėra stiprus slaptažodis, nes jau yra sąrašuose. Net correcthorsebatterystaple iš xkcd komikso nutekėjusiuose duomenyse aptiktas tūkstančius kartų. Stiprus slaptažodis yra atsitiktinai sugeneruotas tik jums: naudokite slaptažodžių generatorių arba slaptafrazių generatorių.

Kiek laiko užtruktų nulaužti mano slaptažodį?

Įveskite jį aukščiau, ir tikrinimo įrankis parodys, kiek vidutiniškai laiko prireiktų 1 000 vaizdo plokščių, visu pajėgumu bandančių atspėti slaptažodį iš pavogto sąrašo. Būtent tokiam scenarijui verta pasiruošti. Atsitiktinis 8 simbolių slaptažodis nulaužiamas per kelias sekundes, o atsitiktiniam 16 simbolių slaptažodžiui prireiktų apie 3 milijardų metų.

Kodėl kiti tikrinimo įrankiai rodo ilgesnį laiką?

Kiekvienas tikrinimo įrankis turi remtis prielaida apie užpuoliko galimybes, tačiau dauguma nenurodo, kokia. Daugelis daro prielaidą, kad svetainė saugo slaptažodžius taip, kad jų tikrinimas būtų sąmoningai sulėtintas ir per sekundę būtų galima išbandyti tik tūkstančius spėjimų. Kai kurie remiasi kelerių metų senumo vaizdo plokščių greičiu, o kiti vertina tik ilgį ir nepastebi tokių šablonų kaip žodžiai ir datos. Mes remiamės nepalankesniu scenarijumi ir tai aiškiai nurodome: pavogto sąrašo slaptažodžius visu pajėgumu bando atspėti 1 000 vaizdo plokščių. Daugelio tinkamai prižiūrimų svetainių slaptažodžius nulaužti užtruktų gerokai ilgiau, tačiau negalite žinoti, kaip konkreti svetainė juos saugo. Todėl mūsų rodomą laiką vertinkite kaip blogiausią scenarijų, kuriam verta pasiruošti.

Kodėl ilgas slaptažodis vis tiek rodomas kaip silpnas?

Nes slaptažodžių laužimo įrankiai nespėlioja po vieną raidę. Jie išbando ištisus žodžius, vardus, vietovardžius, datas ir dažnus slaptažodžius, tada juos jungia ir prideda skaičių. LiverpoolFootball1892 sudaro 21 simbolis, tačiau laužimo įrankiui tai yra du dažni žodžiai ir metai: apie šimtą milijonų spėjimų, kuriuos viena vaizdo plokštė išbando greičiau nei per sekundę. Ilgis padeda tik tada, kai simboliai nenuspėjami, kaip atsitiktiniame slaptažodyje ar slaptafrazėje iš atsitiktinių žodžių.

Kur galiu pamatyti, kurie mano išsaugoti slaptažodžiai nutekėjo?

Jūsų slaptažodžių tvarkyklė gali patikrinti juos visus iš karto. „iPhone“ arba „Mac“ įrenginyje atidarykite programėlę „Slaptažodžiai“ ir peržiūrėkite skiltį „Apsauga“. Naršyklėje „Chrome“ esanti „Google“ slaptažodžių tvarkyklė turi slaptažodžių patikros funkciją. „NordPass“, „Bitwarden“, „1Password“ ir dauguma kitų slaptažodžių tvarkyklių turi panašią ataskaitą.

Kokio ilgio turėtų būti slaptažodis?

Bent 16 atsitiktinių simbolių arba septyni atsitiktiniai žodžiai. JAV standartų agentūra NIST nurodo svetainėms leisti naudoti bent 64 simbolių ilgio slaptažodžius ir reikalauti bent 15 simbolių, kai slaptažodis yra vienintelė paskyros apsaugos priemonė.

Kalba