Preverjanje moči gesla

Vaše geslo nikoli ne zapusti vaše naprave. Kako varujemo zasebnost

Geslo za preverjanje

Preizkusite:

Preverite, koliko časa bi trajalo razbitje gesla in ali je bilo razkrito.

Brezplačno preverjanje moči gesla

Preveri, kako varno je tvoje geslo. Vnesi ali prilepi ga zgoraj in si oglej, kako močno je, koliko časa bi trajalo, da ga razbijejo, in ali je med milijonom najpogosteje razkritih gesel. Vse poteka v tvojem brskalniku med vnašanjem, geslo pa nikoli ne zapusti te naprave.

Ko nehaš tipkati, orodje geslo poišče tudi na seznamu Pwned Passwords storitve Have I Been Pwned, pri čemer pošlje le 5 znakov prstnega odtisa v neberljivi obliki, nikoli pa gesla. Poglej, kaj točno se pošlje.

Skoči na: Kaj pomeni rezultat · Kaj se pošlje · Če je geslo šibko · Vprašanja

Kaj pomeni rezultat

Večine gesel ne razbijejo tako, da bi nekdo vnašal ugibanja na prijavni strani. Napadalci vdrejo v spletno mesto, ukradejo shranjena gesla in jih nato ugibajo s tega seznama na svojih računalnikih, tako hitro, kot jim dopušča strojna oprema. Čas, ki ga prikaže orodje za preverjanje, velja za 1.000 grafičnih kartic, ki ugibajo s polno hitrostjo, in določa oceno moči:

Zelo močno: Milijon let ali več; Dovolj močno za vse, kar lahko oceni to orodje, če je naključno in ga ne uporabljaš drugje
Močno: Manj kot milijon let; Primerno za večino računov, če ga ne uporabljaš drugje
Zmerno: Manj kot 100 let; Zamenjaj ga ob naslednji prijavi
Šibko: Manj kot eno leto; Takoj ga zamenjaj povsod, kjer ga uporabljaš

Videti je močno, pa ni

Večina preverjevalnikov šteje dolžino in vrste znakov, zato geslo, kot je P@ssw0rd2024!, oceni zelo dobro. Orodja za razbijanje gesel ne štejejo znakov, ampak preizkušajo vzorce, ki jih ljudje uporabljajo, in te preizkusijo najprej. Tako ta preverjevalnik oceni nekaj gesel, ki so na videz povsem v redu:

P@ssw0rd2024!RazkritoBeseda, zamenjave s podobnimi znaki, letnica in simbol: med razkritimi podatki najdeno približno 500-krat
Password123!RazkritoNajdeno v razkritih podatkih približno 300.000-krat
Liverpool1892RazkritoKlub in letnica njegove ustanovitve: približno 27.000 pojavitev
k7#Rq!9vT$2m@LxZelo močnoNaključno: za razbitje bi potrebovali 31 milijonov let

Geslo, ki se pojavi med razkritimi podatki, ni varno ne glede na svojo moč, saj napadalci najprej preizkusijo razkrita gesla. Orodje za preverjanje lahko pokaže, da je geslo šibko, ne more pa dokazati, da je varno.

Viri: Meritve zmogljivosti grafičnih kartic (hashcat), zxcvbn (USENIX Security), Smernice NIST za gesla, NIST o kvantnem računalništvu. Seznami besed iz zbirke FrequencyWords avtorja Hermita Dava, CC BY-SA 4.0.

Kaj se pošlje, ko preveriš razkritja

Med tipkanjem posameznih znakov se ne pošlje nič. Ko nehaš tipkati ali prilepiš geslo, se enkrat zgodi naslednje, prikazano na primeru gesla password:

Vneseš geslopasswordostane v tvoji napravi
Brskalnik ga pretvori v prstni odtis SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8ostane v tvoji napravi
Storitvi Have I Been Pwned se pošlje samo prvih 5 znakov5BAA6poslano
Storitev vrne vse prstne odtise razkritih gesel z enakim začetkom, približno 2.000, pomešane z navideznimi vnositvoj brskalnik poišče ujemanje

Storitev nikoli ne vidi gesla ali njegovega celotnega prstnega odtisa, zato ne more vedeti, katerega od teh 2.000 si preveril.

Hitro preverjanje razkritij poteka v tvoji napravi. Stran enkrat prenese zgoščen seznam prstnih odtisov milijona najpogosteje razkritih gesel, zato preverjanje med tipkanjem ne zahteva nobene omrežne zahteve. Verjetnost napačnega ujemanja je približno ena na milijon.
Ena zahteva na geslo, nikoli ena na vsak pritisk tipke. Preverjanje počaka, da nehaš tipkati. Če je geslo že na seznamu v napravi, se ne pošlje nič, manjše spremembe gesla (popravljena tipkarska napaka, nekaj dodanih znakov) pa se preverijo največ dvakrat: primerjava skoraj enakih preverjanj bi lahko razkrila geslo. Nekatera orodja za preverjanje pošljejo zahtevo ob vsakem pritisku tipke, te zahteve pa skupaj razkrivajo geslo znak za znakom.
Nič se ne shrani. Geslo se nikoli ne shrani in se nikoli ne pojavi v naslovni vrstici, ko zapustiš stran, pa izgine.
Preveri. V razvijalskih orodjih brskalnika odpri zavihek Omrežje in začni tipkati: nič se ne pošlje, dokler ne nehaš tipkati. Nato se prikaže ena zahteva, poslano na api.pwnedpasswords.com, ki se konča s 5 znaki, prikazanimi v tem razdelku. Lahko pa prekineš internetno povezavo: vse razen celovitega preverjanja razkritij še naprej deluje.

Podatki o razkritih geslih: Pwned Passwords storitve Have I Been Pwned, uporabljeni pod licenco Creative Commons Priznanje avtorstva 4.0.

Če je tvoje geslo šibko ali razkrito

Spremeni ga na vseh spletnih mestih, kjer ga uporabljaš, najprej pa pri e-pošti, saj lahko prek nje ponastaviš gesla za vse druge račune.
Ustvari novo geslo, namesto da spreminjaš staro. Dodajanje znaka ali zamenjava 1 z 2 je prvo, kar napadalci poskusijo. Ustvari naključno geslo ali geselno frazo.
Uporabljaj upravljalnik gesel, da ima lahko vsak račun svoje geslo, ne da bi si moral katero od njih zapomniti.
Vklopi preverjanje v dveh korakih, kjer je na voljo. Tako tvoj račun ostane varen, tudi če je geslo razkrito.

Pogosta vprašanja

Katero orodje za preverjanje gesel je najvarnejše?

Tisto, ki med vnašanjem ne pošilja ničesar in ti omogoča, da se o tem prepričaš. Ta stran v tvoji napravi preveri moč gesla in ali je med milijonom najpogosteje razkritih gesel. Preverjanje vseh znanih razkritij počaka, da nehaš tipkati, in enkrat pošlje le 5 znakov prstnega odtisa gesla. To lahko spremljaš na zavihku Omrežje v brskalniku ali pa prekineš internetno povezavo in se prepričaš, da orodje še vedno deluje.

Kako preverim, ali je bilo moje geslo razkrito?

Vnesi ali prilepi ga zgoraj. Če je med milijonom najpogosteje razkritih gesel, to vidiš takoj. Ko nehaš tipkati, orodje preveri tudi vsa znana razkritja. Če se pojavi v katerem koli razkritju, ga nehaj uporabljati.

Ali je uporaba storitve Have I Been Pwned varna?

Da, za gesla. Preverjanje gesel je zasnovano tako, da storitev nikoli ne prejme tvojega gesla: brskalnik pošlje le prvih 5 znakov prstnega odtisa gesla in sam opravi končno primerjavo. Ta stran zahteva tudi, da odgovor vsebuje navidezne vnose, zato niti njegova velikost ničesar ne razkrije.

Katero geslo je najpogosteje razkrito?

123456, ki se je v razkritih podatkih pojavilo več kot 210 milijonkrat, sledijo pa 123456789, 12345678, password in qwerty (podatki storitve Have I Been Pwned). Vse, kar človeku hitro pade na pamet, je že na seznamih.

Mi lahko navedeš primer močnega gesla?

Noben javno objavljen primer ni več močno geslo, saj je zdaj že na seznamih. Celo correcthorsebatterystaple iz stripa xkcd se je v razkritih podatkih pojavilo že več tisočkrat. Močno geslo je ustvarjeno naključno in samo zate: uporabi generator gesel ali generator gesel iz besed.

Koliko časa bi trajalo razbijanje mojega gesla?

Vnesi ga zgoraj in orodje za preverjanje prikaže povprečni čas, ki ga za ugibanje gesla z ukradenega seznama potrebuje 1.000 grafičnih kartic pri polni hitrosti. Na tak primer se je vredno pripraviti. Naključno geslo z 8 znaki je razbito v nekaj sekundah, za naključno geslo s 16 znaki pa je potrebnih približno 3 milijarde let.

Zakaj druga orodja za preverjanje prikazujejo daljše čase?

Vsako orodje za preverjanje mora predpostaviti, kakšne zmogljivosti ima napadalec, večina pa tega ne pove. Mnoga predpostavljajo, da spletno mesto shranjuje gesla na način, ki je namerno počasen in omogoča le nekaj tisoč poskusov na sekundo. Nekatera uporabljajo podatke o hitrosti grafičnih kartic izpred več let, druga pa upoštevajo le dolžino in spregledajo vzorce, kot so besede in datumi. Mi prikazujemo strožji primer in to tudi povemo: ugibanje gesel z ukradenega seznama s polno hitrostjo 1.000 grafičnih kartic. Pri številnih dobro upravljanih spletnih mestih razbijanje gesel traja precej dlje, vendar ne moreš vedeti, kako posamezno mesto shranjuje gesla, zato naše čase upoštevaj kot najslabši primer, na katerega se je treba pripraviti.

Zakaj je dolgo geslo še vedno označeno kot šibko?

Ker orodja za razbijanje gesel ne ugibajo črko za črko. Ugibajo cele besede, imena, kraje, datume in pogosta gesla, nato pa jih združujejo in dodajajo številke. LiverpoolFootball1892 ima 21 znakov, za orodje za razbijanje gesel pa sta to dve pogosti besedi in letnica: približno sto milijonov poskusov, ki jih ena grafična kartica opravi v manj kot sekundi. Dolžina pomaga le, če so znaki nepredvidljivi, kot pri naključnem geslu ali geselni frazi iz naključnih besed.

Kje lahko vidim, katera od mojih shranjenih gesel so razkrita?

Tvoj upravljalnik gesel jih lahko preveri vsa hkrati. Na iPhonu ali Macu odpri aplikacijo Gesla in poglej v razdelek Varnost. V brskalniku Chrome ima Googlov upravljalnik gesel možnost Preverjanje gesel. NordPass, Bitwarden, 1Password in večina drugih upravljalnikov gesel ponujajo podobno poročilo.

Kako dolgo naj bo geslo?

Vsaj 16 naključnih znakov ali sedem naključnih besed. NIST, ameriška agencija za standarde, spletnim mestom priporoča, naj omogočajo gesla dolžine vsaj 64 znakov in zahtevajo vsaj 15 znakov, kadar račun ščiti samo geslo.

Jezik