Password Strength Checker: How Long to Crack + Breach Check

Indtast en adgangskode i kontrollen ovenfor. Intet, du skriver, sendes til dette websted eller gemmes nogen steder: styrkeestimatet kører i din browser, og brudchecket bruger et privatlivsbevarende opslag, der er forklaret nedenfor.

Hvad checkeren måler

• Længde og tegnvariation. Hvert ekstra tegn multiplicerer antallet af mulige adgangskoder; længde hjælper langt mere end at bytte et bogstav til et symbol.
• Forudsigelige mønstre. Almindelige adgangskoder, tastatursekvenser (qwerty, 123), gentagne tegn og årstal reducerer det reelle søgerum, så estimatet trækker fra for dem.
• Databrud. En adgangskode, der allerede optræder i et brud, kan prøves først af angribere, uanset hvor kompleks den ser ud, så et match i et brud tilsidesætter en god styrkescore.

Gættetiderne forudsætter et offlineangreb med 10 milliarder gæt i sekundet (en stjålet database med en hurtig hash) og et onlineangreb med 100 gæt i sekundet (en login-side uden lockout). Rigtige angreb bruger ordlister og regler, så behandl tallene som en øvre grænse for tilfældigt udseende adgangskoder og en generøs for alt andet.

Hvordan brudkontrollen holder din adgangskode privat

Checkeren beregner SHA-1-hashen for din adgangskode i browseren og sender kun dens første fem hexadecimale tegn til Have I Been Pwneds Pwned Passwords-tjeneste. Tjenesten returnerer hver brudt hash, der starter med disse fem karakterer (normalt omkring 2.000 af dem), og kontrollen leder efter din lokalt. Dette kaldes k-anonymitet: tjenesten lærer aldrig hvilken adgangskode, eller endda hvilken fuld hash, du har tjekket.

Hvad skal man gøre, hvis en adgangskode er svag eller brudt

1. Skift den overalt, hvor du har brugt det, startende med e-mail og bank.
2. Brug en anden adgangskode for hver konto. En password manager gør det praktisk.
3. Foretrække lange adgangssætninger af flere ikke-relaterede ord frem for korte komplekse strenge.
4. Slå multifaktorgodkendelse til, hvor det tilbydes.

Kilder

• National Institute of Standards and Technology, Digital Identity Guidelines, SP 800-63B (længde over tvungen kompleksitet; screen nye adgangskoder mod lister med lækkede adgangskoder): pages.nist.gov/800-63-4.
• Have I Been Pwned, Pwned Passwords and the k-anonymity range API: haveibeenpwned.com/Passwords.