Проверка надёжности пароля

Ваш пароль никогда не покидает ваше устройство. Как обеспечивается конфиденциальность

Пароль для проверки

Попробуйте:

Узнайте, сколько времени займёт взлом и попадал ли пароль в утечки.

Бесплатная проверка надежности пароля

Проверка надежности пароля поможет узнать, насколько он защищен. Введите или вставьте пароль выше, чтобы увидеть, насколько он надежен, сколько времени потребуется на его взлом и входит ли он в число миллиона паролей, чаще всего встречающихся в утечках. Проверка выполняется прямо в браузере по мере ввода, а пароль никогда не покидает ваше устройство.

Когда вы перестаёте вводить пароль, он также проверяется по списку Pwned Passwords от Have I Been Pwned. При этом отправляются только 5 символов цифрового отпечатка, полученного преобразованием пароля, — никогда не сам пароль. Посмотрите, что именно отправляется.

Перейти к разделу: Что означает результат · Что отправляется · Если пароль слабый · Вопросы

Что означает результат

Большинство паролей взламывают не перебором вариантов на странице входа. Злоумышленники взламывают сайт, крадут сохранённые пароли и подбирают их по украденному списку на своих компьютерах — настолько быстро, насколько позволяет оборудование. Здесь время взлома рассчитано для 1 000 видеокарт, перебирающих варианты на полной скорости. По этому времени определяется уровень надёжности:

Очень надёжный: Миллион лет и более; Достаточно надёжен по всем критериям этой проверки, если он случайный и уникальный
Надёжный: Менее миллиона лет; Подходит для большинства аккаунтов, если он уникальный
Средний: Менее 100 лет; Замените его при следующем входе
Слабый: Менее года; Смените его прямо сейчас везде, где используете

Кажется надежным, но это не так

Большинство сервисов проверки надежности пароля учитывают длину и типы символов, поэтому высоко оценивают пароли вроде P@ssw0rd2024!. Программы для взлома не считают символы: они перебирают шаблоны, которыми пользуются люди, причем в первую очередь. Вот как наш сервис оценивает пароли, которые на вид вполне надежны:

P@ssw0rd2024!В утечкахСлово, замены на похожие символы, год и спецсимвол: встречается в утечках данных около 500 раз
Password123!В утечкахВстречается в утечках данных около 300 000 раз
Liverpool1892В утечкахКоманда и год ее основания: около 27 000 раз в утечках
k7#Rq!9vT$2m@LxОчень надёжныйСлучайный: 31 миллион лет на взлом

Пароль, обнаруженный в утечке данных, небезопасен независимо от его надёжности, потому что злоумышленники в первую очередь пробуют пароли из утечек. Проверка надежности пароля может показать, что пароль слабый, но не может доказать, что он безопасен.

Источники: Тесты производительности видеокарт (hashcat), zxcvbn (USENIX Security), Рекомендации NIST по паролям, NIST о квантовых вычислениях. Списки слов из FrequencyWords, автор — Hermit Dave, лицензия — CC BY-SA 4.0.

Что отправляется при проверке пароля на утечку

При вводе каждого символа ничего не отправляется. Когда вы перестаёте вводить пароль или вставляете его, один раз происходит следующее — на примере пароля password:

Вы вводите парольpasswordостается на вашем устройстве
Браузер превращает его в цифровой отпечаток SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8остается на вашем устройстве
В Have I Been Pwned отправляются только первые 5 символов5BAA6отправляются
В ответ сервис присылает все отпечатки паролей из утечек с таким же началом — около 2 000 — вперемешку с фиктивными записямиваш браузер ищет совпадение

Сервис не видит ни пароль, ни его полный отпечаток, поэтому не может определить, какой из этих 2 000 вы проверяли.

Быстрая проверка на утечки выполняется на вашем устройстве. Страница один раз загружает компактный список отпечатков миллиона паролей, чаще всего встречающихся в утечках, поэтому проверка при вводе вообще не требует запросов. Вероятность ложного совпадения — примерно один случай на миллион.
Один запрос на пароль, а не на каждое нажатие клавиши. Проверка ждёт, пока вы перестанете вводить пароль. Если пароль уже есть в списке на вашем устройстве, ничего не отправляется. Пароль с небольшими изменениями (исправленной опечаткой, несколькими добавленными символами) проверяется не более двух раз: сравнение почти одинаковых запросов может раскрыть пароль. Некоторые сервисы отправляют запрос при каждом нажатии клавиши — вместе эти запросы раскрывают пароль символ за символом.
Ничего не сохраняется. Пароль нигде не сохраняется, не попадает в адресную строку и исчезает, когда вы покидаете страницу.
Проверьте сами. Откройте вкладку «Сеть» в инструментах разработчика вашего браузера и начните вводить пароль: ничего не отправляется, пока вы не остановитесь. Затем вы увидите один запрос к api.pwnedpasswords.com. Его адрес заканчивается теми 5 символами, которые показаны в этом разделе. Или отключите интернет: всё, кроме полной проверки на утечки, продолжит работать.

Данные о паролях из утечек: Pwned Passwords от Have I Been Pwned, используются по лицензии Creative Commons «С указанием авторства» 4.0.

Если ваш пароль слабый или попал в утечку

Смените его на всех сайтах, где вы его используете, начиная с электронной почты: через нее можно сбросить пароли к остальным аккаунтам.
Создайте новый пароль, а не меняйте старый по мелочам. Добавить символ или заменить 1 на 2 — такие варианты злоумышленники проверяют в первую очередь. Создайте случайный пароль или парольную фразу.
Используйте менеджер паролей, чтобы у каждой учётной записи был свой пароль, а вам не приходилось их запоминать.
Включите двухэтапную проверку везде, где она доступна. Она защищает аккаунт, даже если пароль попадет в утечку.

Часто задаваемые вопросы

Какой инструмент проверки надежности пароля самый безопасный?

Тот, который ничего не отправляет, пока вы вводите пароль, и позволяет в этом убедиться. Эта страница проверяет надёжность пароля и ищет его среди миллиона паролей, чаще всего встречающихся в утечках, прямо на вашем устройстве. Полная проверка по утечкам ждёт, пока вы перестанете вводить пароль, и один раз отправляет только 5 символов цифрового отпечатка пароля. Вы можете проследить за этим на вкладке «Сеть» в инструментах разработчика браузера или отключить интернет и убедиться, что проверка надежности пароля продолжает работать.

Как проверить, попал ли мой пароль в утечку?

Введите или вставьте его выше. Если он входит в миллион паролей, чаще всего встречающихся в утечках, вы сразу это увидите. Когда вы перестаёте вводить пароль, он также проверяется по всем известным утечкам. Если пароль найден хотя бы в одной из них, больше не используйте его.

Безопасно ли пользоваться Have I Been Pwned?

Да, для проверки паролей. Проверка устроена так, что сервис никогда не получает ваш пароль: браузер отправляет только первые 5 символов цифрового отпечатка пароля, а окончательное сравнение выполняет сам. Эта страница также запрашивает добавление фиктивных записей в ответ, чтобы даже его размер ничего не раскрывал.

Какой пароль взламывают чаще всего?

123456 — он встречается в утечках данных более 210 миллионов раз. За ним идут 123456789, 12345678, password и qwerty (по данным Have I Been Pwned). Все, что человек может быстро придумать, уже есть в списках.

Можете привести пример надежного пароля?

Любой опубликованный пример пароля уже нельзя считать надежным: он уже попал в списки. Даже correcthorsebatterystaple из комикса xkcd встречался в утечках тысячи раз. Надежный пароль — тот, который создан случайным образом только для вас. Воспользуйтесь генератором паролей или генератором парольных фраз.

Сколько времени потребуется, чтобы взломать мой пароль?

Введите пароль выше, и проверка надежности пароля покажет среднее время взлома при переборе по украденному списку паролей с помощью 1 000 видеокарт на полной скорости. Именно на такой сценарий стоит рассчитывать при выборе пароля. Случайный пароль из 8 символов взламывается за секунды, а из 16 — примерно за 3 миллиарда лет.

Почему другие сервисы показывают большее время взлома?

Каждый сервис проверки должен исходить из каких-то возможностей злоумышленника, но большинство не уточняют, из каких именно. Многие предполагают, что сайт хранит пароли способом, специально замедляющим перебор: это позволяет проверять лишь тысячи вариантов в секунду. Некоторые используют данные о скорости видеокарт многолетней давности, а другие учитывают только длину и не замечают закономерностей вроде слов и дат. Мы показываем более жёсткий сценарий и прямо об этом говорим: перебор по украденному списку паролей с помощью 1 000 видеокарт на полной скорости. На многих грамотно защищённых сайтах взлом занял бы гораздо больше времени, но вы не можете знать, как именно защищён конкретный сайт. Поэтому считайте наши оценки времени худшим случаем, к которому стоит быть готовыми.

Почему длинный пароль все равно считается слабым?

Потому что программы для взлома не подбирают пароль по одной букве. Они перебирают целые слова, имена, названия мест, даты и распространённые пароли, затем соединяют их и добавляют числа. В LiverpoolFootball1892 21 символ, но для программы взлома это два распространённых слова и год: около ста миллионов вариантов, которые одна видеокарта перебирает меньше чем за секунду. Длина помогает только тогда, когда символы непредсказуемы, как в случайном пароле или парольной фразе из случайных слов.

Где посмотреть, какие из моих сохраненных паролей попали в утечки?

Менеджер паролей может проверить их все сразу. На iPhone или Mac откройте приложение «Пароли» и перейдите в раздел «Безопасность». В Chrome в «Менеджере паролей Google» есть функция «Проверка паролей». В NordPass, Bitwarden, 1Password и большинстве других менеджеров паролей есть похожий отчёт.

Какой длины должен быть пароль?

Не менее 16 случайных символов или семи случайных слов. NIST, американский институт стандартов, предписывает сайтам разрешать пароли длиной не менее 64 символов и требовать не менее 15 символов, если пароль — единственное средство защиты учётной записи.

Язык