Wpisz hasło, żeby zobaczyć ocenę. Sprawdzamy je w przeglądarce, nic nie jest wysyłane.
Jak oceniamy hasło
Liczymy entropię (w bitach) z długości hasła i puli użytych znaków, a potem czas, jaki zajęłoby przejrzenie połowy możliwości. To szacunek, nie gwarancja. Przyjęte założenia:
| Założenie | Wartość | Uwagi |
|---|---|---|
| Pula znaków | małe 26, wielkie 26, cyfry 10, symbole 33, polskie litery 18 | pulę liczymy z tego, co faktycznie użyto w haśle |
| Atak online | 100 prób na sekundę | logowanie przez stronę, zwykle z blokadą po kilku błędach |
| Atak offline | 10 mld prób na sekundę | po wycieku bazy haseł zabezpieczonych szybkim hashem; hasła z dobrym hashem (bcrypt, Argon2) łamie się wolniej |
| Hasła ze słownika | ocena bardzo niska | popularne hasła, sekwencje (abc, 123, qwerty) i powtórzenia zaniżają szacunek |
| Wzorce ludzkie | obniżona ocena | słowo z cyframi (Kasia1985!) liczymy jako ok. 30 bitów, hasło ze słów jako ok. 11 bitów na słowo, a podmianę liter na cyfry jako ok. 4,2 bita na znak |
Narzędzie nie ma pełnego słownika ani bazy wycieków, więc hasło ze słowa z podmienionymi literami może wyjść zbyt wysoko, a hasło, które wygląda losowo, może być w nich popularne. Do ważnych kont używaj unikalnych haseł z menedżera i logowania dwuskładnikowego.
W skrócie
- Liczy się długość i losowość, nie ozdobniki. 16 losowych znaków jest nieporównanie silniejsze niż „Kasia1985!”, choć oba mają wielką literę, cyfry i symbol.
- Hasła ze słownika, imion i dat łamie się w sekundach, nawet jeśli dodasz cyfrę i wykrzyknik. Pierwsze próby atakującego to właśnie takie wzorce.
- Hasło z kilku losowych słów (np. pięć słów) też bywa silne, ale tylko wtedy, gdy słowa wybrał losowo program, a nie Ty.
- Najlepsze hasło to takie, którego nie musisz pamiętać: losowe, długie, unikalne dla każdego konta i zapisane w menedżerze haseł.
Moje pierwsze hasła składały się głównie z samych znaków alfanumerycznych. By łatwo było je zapamiętać, były to jakieś wyrazy czy frazy związane ze mną. W zależności gdzie musiałem założyć konto, miałem inny „typ” haseł. Teraz już nie przejmuję się hasłami, bo wszystkie mam w Apple’owym menadżerze haseł który synchronizuje się z moim urządzeniami z logiem nadgryzionego jabłka. Jest to bardzo duża wygoda, bo w razie wycieku nie muszę ogarniać listy serwisów na którym miałem konto z tym samym hasłem. A wiem, że ludzie są leniwi i mają te same hasła do wielu miejsc w internecie.
Bezpieczeństwo: narzędzie liczy wszystko w Twojej przeglądarce i nie wysyła hasła do żadnego serwera, a hasło nie trafia do adresu strony. Mimo to nie wpisuj hasła, którego naprawdę używasz. Sprawdź podobne hasło o tej samej długości i budowie, a wniosek zastosuj do własnego.
Jak czytać wynik
Narzędzie ocenia hasło po entropii, czyli tym, ile prób potrzeba, żeby je odgadnąć, a nie po tym, ile ma rodzajów znaków.
- Entropia w bitach to długość hasła razy logarytm z puli znaków (małe i wielkie litery, cyfry, symbole, polskie litery). Każdy dodatkowy bit podwaja liczbę prób.
- Ocena: poniżej 28 bitów to bardzo słabe, 28–35 słabe, 36–59 średnie, 60–79 dobre, a od 80 bitów bardzo dobre.
- Czas łamania pokazujemy dla dwóch ataków: online (100 prób na sekundę) i offline po wycieku bazy haseł (10 mld prób na sekundę). Podajemy czas przejrzenia połowy możliwości.
- Obniżona ocena: hasła z listy najpopularniejszych, sekwencje (abc, 123, qwerty), powtórzenia oraz wzorzec „słowo + cyfry + znak” oceniamy surowiej, bo atakujący sprawdza je w pierwszej kolejności.
Przykłady: jak oceniamy hasła
Sześć haseł o różnej budowie (to przykłady, nie wpisuj tu własnych prawdziwych haseł):
| Hasło | Entropia | Ocena | Dlaczego |
|---|---|---|---|
| haslo123 | ok. 14 bitów | bardzo słabe | jedno z najpopularniejszych haseł |
| Kasia1985! | ok. 30 bitów | słabe | imię, rok urodzenia i wykrzyknik |
| kotpiesdom | ok. 43 bity | średnie | 10 małych liter, bez losowości |
| Zielony-Rower-Pada-W-Maju | ok. 55 bitów | średnie | hasło ze słów, ok. 11 bitów na słowo |
| zX7#qL9!mP2v | ok. 74 bity | dobre | 12 losowych znaków z całej puli |
| xK9$mQ2vL7pR4wT8 | ok. 105 bitów | bardzo dobre | 16 losowych znaków |
Widać, że długość i losowość wygrywają ze „skomplikowaniem”: Kasia1985! ma cztery rodzaje znaków i jest słabe, a zX7#qL9!mP2v jest o rzędy wielkości trudniejsze do odgadnięcia.
Jak zrobić hasło, które przetrwa atak
- Użyj generatora. Człowiek jest przewidywalny. Hasło ze 16 losowych znaków wygeneruje generator haseł, a menedżer haseł je zapamięta.
- Jedno hasło na jedno konto. Wyciek z jednego serwisu nie może otwierać poczty, banku i sklepów. To ważniejsze niż sama długość.
- Logowanie dwuskładnikowe. Włącz je tam, gdzie się da, najlepiej przez aplikację lub klucz sprzętowy, a nie SMS. Nawet wykradzione hasło nie wystarczy wtedy do wejścia.
- Passphrase tylko losowa. Jeśli musisz pamiętać hasło (menedżer, szyfrowanie dysku), użyj kilku losowych słów wybranych przez program, a nie ulubionego cytatu.
- Nie zmieniaj haseł bez powodu. Zmiana jest potrzebna po wycieku lub podejrzeniu włamania. Regularne „kosmetyczne” zmiany prowadzą do przewidywalnych wzorców.
Kiedy wynik narzędzia będzie niedokładny
- Brak pełnego słownika. Narzędzie nie ma bazy wszystkich wycieków, więc hasło, które wygląda losowo, może być w nich popularne. Odwrotnie, hasło oparte na słowie z podmienionymi literami (np. „tr0ub4dor&3”) możemy ocenić zbyt wysoko.
- Hash po stronie serwisu. Czas łamania zależy od tego, jak serwis przechowuje hasła. Przy dobrym hashu (bcrypt, Argon2) łamanie jest o rzędy wielkości wolniejsze niż przy szybkim.
- Ataki ukierunkowane. Jeśli atakujący zna Twoje imię, daty i zainteresowania, a hasło je zawiera, jest ono łamane szybciej, niż pokazuje entropia.
- Inne ryzyka. Silne hasło nie ochroni przed phishingiem, keyloggerem ani wyciekiem z serwisu, który przechowuje je w postaci jawnej. Dlatego liczy się unikalność i logowanie dwuskładnikowe.
