Перевірка надійності пароля

Ваш пароль ніколи не залишає ваш пристрій. Як зберігається конфіденційність

Пароль для перевірки

Спробуйте:

Дізнайтеся, скільки часу знадобиться на злам і чи був пароль у витоках даних.

Безкоштовна перевірка надійності пароля

Дізнайтеся, наскільки захищений ваш пароль. Введіть або вставте його вище — перевірка надійності пароля покаже, наскільки він надійний, скільки часу знадобилося б для його зламу та чи є він серед мільйона паролів, які найчастіше потрапляли у витоки. Усе відбувається у вашому браузері під час введення, а пароль ніколи не залишає цей пристрій.

Коли ви припиняєте вводити пароль, перевірка також шукає його у списку Pwned Passwords від Have I Been Pwned, надсилаючи лише 5 символів закодованого цифрового відбитка, а не сам пароль. Дізнайтеся, що саме надсилається.

Перейти до: Що означає результат · Що надсилається · Якщо пароль слабкий · Запитання

Що означає результат

Більшість паролів зламують не шляхом введення можливих варіантів на сторінці входу. Зловмисники зламують сайт, викрадають збережені на ньому паролі й підбирають їх на власних комп’ютерах — настільки швидко, наскільки дозволяє обладнання. Час, який показує перевірка надійності пароля, розраховано для 1 000 відеокарт, що перебирають варіанти на повній швидкості. Саме цей час визначає рівень надійності:

Дуже надійний: Мільйон років або більше; Достатньо надійний для всього, що може оцінити ця перевірка, якщо він випадковий і унікальний
Надійний: Менше мільйона років; Підходить для більшості облікових записів, якщо він унікальний
Задовільний: Менше 100 років; Замініть його під час наступного входу
Слабкий: Менше року; Змініть його зараз усюди, де використовуєте

Здається надійним, але це не так

Більшість інструментів перевірки надійності пароля враховують довжину та типи символів, тому високо оцінюють паролі на кшталт P@ssw0rd2024!. Програми для зламу діють інакше: вони насамперед перевіряють шаблони, якими користуються люди. Ось як цей інструмент перевірки надійності пароля оцінює деякі паролі, що на вигляд здаються цілком непоганими:

P@ssw0rd2024!У витокахСлово, заміни схожими символами, рік і спецсимвол: знайдено у витоках даних близько 500 разів
Password123!У витокахЗнайдено у витоках даних близько 300 000 разів
Liverpool1892У витокахНазва команди та рік її заснування: близько 27 000 разів
k7#Rq!9vT$2m@LxДуже надійнийВипадковий: 31 мільйон років на злам

Пароль, знайдений у витоку даних, небезпечний незалежно від його надійності, адже зловмисники насамперед пробують паролі з витоків. Перевірка надійності пароля може показати, що пароль слабкий, але не може довести, що він безпечний.

Джерела: Тести продуктивності відеокарт (hashcat), zxcvbn (USENIX Security), Рекомендації NIST щодо паролів, NIST про квантові обчислення. Списки слів із FrequencyWords від Hermit Dave, CC BY-SA 4.0.

Що надсилається під час перевірки на витоки

Поки ви вводите кожен символ — нічого. Коли ви припиняєте вводити або вставляєте пароль, один раз відбувається ось що — на прикладі пароля password:

Ви вводите парольpasswordзалишається на вашому пристрої
Ваш браузер перетворює його на відбиток SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8залишається на вашому пристрої
Лише перші 5 символів надсилаються до Have I Been Pwned5BAA6надсилається
Сервіс повертає всі відбитки паролів із витоків, що починаються так само, — близько 2 000, упереміш із фіктивнимиваш браузер шукає збіг

Сервіс ніколи не бачить ні пароля, ні його повного відбитка, тож не може визначити, який саме з цих 2 000 ви перевіряли.

Швидка перевірка на витоки відбувається на вашому пристрої. Сторінка один раз завантажує компактний список відбитків мільйона паролів, які найчастіше трапляються у витоках, тож перевірка під час введення не потребує жодного запиту. Імовірність хибного збігу — приблизно один на мільйон.
Один запит на пароль, а не на кожне натискання клавіші. Перевірка чекає, доки ви припините вводити пароль. Якщо пароль уже є у списку на вашому пристрої, нічого не надсилається. Незначні зміни пароля (виправлена помилка, кілька доданих символів) перевіряються щонайбільше двічі: порівняння майже однакових запитів може розкрити пароль. Деякі сервіси перевірки надсилають запит після кожного натискання клавіші, і разом ці запити розкривають пароль символ за символом.
Нічого не зберігається. Пароль ніколи не зберігається, не потрапляє в адресний рядок і зникає, коли ви залишаєте сторінку.
Перевірте самі. Відкрийте вкладку «Мережа» в інструментах розробника вашого браузера та почніть вводити пароль: нічого не надсилається, доки ви не припините введення. Тоді ви побачите один запит до api.pwnedpasswords.com, адреса якого закінчується на 5 символів, показаних у цьому розділі. Або відключіться від інтернету: усе, крім повної перевірки на витоки, працюватиме й далі.

Дані про паролі з витоків: Pwned Passwords від Have I Been Pwned, використовуються за ліцензією Creative Commons Із Зазначенням Авторства 4.0.

Якщо ваш пароль слабкий або потрапив у витік

Змініть його на кожному сайті, де ви його використовуєте, починаючи з електронної пошти, адже через неї можна скинути паролі до решти облікових записів.
Створіть новий пароль, а не змінюйте старий. Додати символ або замінити 1 на 2 — саме такі варіанти зловмисники перевіряють насамперед. Створіть випадковий пароль або парольну фразу.
Користуйтеся менеджером паролів, щоб кожен обліковий запис мав власний пароль, а вам не доводилося їх запам’ятовувати.
Увімкніть двоетапну перевірку всюди, де вона доступна. Вона захищає обліковий запис, навіть якщо пароль потрапить у витік.

Поширені запитання

Який інструмент перевірки надійності пароля найбезпечніший?

Той, що нічого не надсилає, поки ви вводите пароль, і дає змогу в цьому переконатися. Ця сторінка перевіряє надійність пароля та його наявність серед мільйона паролів, які найчастіше траплялися у витоках, безпосередньо на вашому пристрої. Повна перевірка витоків чекає, доки ви припините вводити пароль, і надсилає лише 5 символів цифрового відбитка — один раз. Ви можете простежити за цим на вкладці «Мережа» в інструментах розробника браузера або відключитися від інтернету й переконатися, що перевірка надійності пароля й далі працює.

Як перевірити, чи потрапив мій пароль у витік?

Введіть або вставте його вище. Якщо він входить до мільйона паролів, які найчастіше траплялися у витоках, ви одразу це побачите. Коли ви припиняєте вводити пароль, він також перевіряється за всіма відомими витоками. Якщо пароль знайдено хоча б в одному витоку, припиніть ним користуватися.

Чи безпечно користуватися Have I Been Pwned?

Так, для перевірки паролів. Перевірка влаштована так, що сервіс ніколи не отримує ваш пароль: браузер надсилає лише перші 5 символів цифрового відбитка пароля, а остаточне порівняння виконує самостійно. Ця сторінка також просить додати до відповіді фіктивні записи, тож навіть її розмір нічого не розкриває.

Який пароль зламують найчастіше?

123456 — він траплявся у витоках даних понад 210 мільйонів разів. За ним ідуть 123456789, 12345678, password і qwerty (за даними Have I Been Pwned). Усе, що людина може швидко вигадати, уже є у списках.

Можете навести приклад надійного пароля?

Будь-який опублікований приклад пароля вже не є надійним, бо він уже потрапив до списків. Навіть correcthorsebatterystaple з коміксу xkcd траплявся у витоках тисячі разів. Надійний пароль — це пароль, створений випадковим чином саме для вас. Скористайтеся генератором паролів або генератором парольних фраз.

Скільки часу знадобиться, щоб зламати мій пароль?

Введіть пароль вище, і перевірка надійності пароля покаже середній час, потрібний 1 000 відеокарт для його підбору за викраденим списком паролів на повній швидкості. Саме до такого сценарію варто готуватися. Випадковий пароль із 8 символів зламується за лічені секунди, а з 16 — приблизно за 3 мільярди років.

Чому інші сервіси перевірки показують довший час?

Кожен сервіс перевірки має робити припущення про можливості зловмисника, але більшість не пояснює, які саме. Багато хто виходить із того, що сайт зберігає паролі у спосіб, який навмисно сповільнює їх підбір і дозволяє перевіряти лише тисячі варіантів за секунду. Деякі використовують показники швидкості відеокарт багаторічної давнини, а інші враховують лише довжину й не помічають шаблонів, як-от слів і дат. Ми показуємо суворіший сценарій і прямо про це говоримо: 1 000 відеокарт підбирають паролі з викраденого списку на повній швидкості. На багатьох сайтах із належним захистом злам паролів займає набагато більше часу, але ви не можете знати, як саме сайт зберігає паролі. Тож сприймайте наші оцінки часу як найгірший сценарій, до якого варто бути готовими.

Чому довгий пароль усе одно позначено як слабкий?

Тому що програми для зламу не вгадують по одній літері. Вони перебирають цілі слова, імена, географічні назви, дати й поширені паролі, потім поєднують їх і додають числа. LiverpoolFootball1892 містить 21 символ, але для програми зламу це два поширені слова й рік: близько ста мільйонів варіантів, які одна відеокарта перебирає менш ніж за секунду. Довжина допомагає лише тоді, коли символи непередбачувані, як у випадковому паролі або парольній фразі з випадкових слів.

Де подивитися, які з моїх збережених паролів скомпрометовано?

Ваш менеджер паролів може перевірити їх усі відразу. На iPhone або Mac відкрийте програму «Паролі» й перейдіть до розділу «Безпека». У Менеджері паролів Google у Chrome є функція «Перевірка паролів». NordPass, Bitwarden, 1Password і більшість інших менеджерів паролів мають подібний звіт.

Якої довжини має бути пароль?

Щонайменше 16 випадкових символів або сім випадкових слів. NIST, американська установа зі стандартизації, рекомендує сайтам приймати паролі довжиною щонайменше 64 символи та вимагати не менше 15 символів, якщо пароль — єдиний засіб захисту облікового запису.

Мова