Controllo della robustezza della password: quanto tempo per crackarla + controllo della violazione

Digita una password nel controllo in alto. Niente di ciò che digiti viene inviato a questo sito o archiviato da nessuna parte: la stima della robustezza viene eseguita nel tuo browser e il controllo delle violazioni utilizza una ricerca di tutela della privacy spiegata di seguito.

Cosa misura il controllo

• Lunghezza e varietà di caratteri. Ogni carattere in più moltiplica il numero di password possibili; la lunghezza aiuta molto più che scambiare una lettera con un simbolo.
• Modelli prevedibili. Password comuni, sequenze di tasti (qwerty, 123), caratteri ripetuti e anni tagliati lo spazio di ricerca reale, quindi la stima li sottrae.
• Violazioni. Una password che appare già in una violazione può essere tentata per prima dagli aggressori, non importa quanto sia complessa sembra, quindi il riscontro di una violazione annulla un buon punteggio di forza.

I tempi di ipotesi presuppongono un attacco offline a 10 miliardi di ipotesi al secondo (un database rubato con un hash veloce) e un attacco online a 100 tentativi al secondo (una pagina di accesso senza blocco). Gli attacchi reali utilizzano elenchi di parole e regole, quindi tratta i numeri come un limite superiore per le password dall’aspetto casuale e un limite generoso per qualsiasi altra cosa.

In che modo il controllo delle violazioni mantiene privata la tua password

Il controllo calcola l’hash SHA-1 della tua password nel browser e invia solo i suoi primi cinque caratteri esadecimali al servizio Pwned Passwords di Have I Been Pwned. Il servizio restituisce ogni hash violato che inizia con quei cinque caratteri (di solito circa 2.000) e il controllo cerca il tuo localmente. Questo si chiama k-anonimato: il servizio non apprende mai quale password, o anche quale hash completo, hai controllato.

Cosa fare se una password è debole o violata

1. Cambiala ovunque l’abbia usata, a partire dalla posta elettronica e dalle operazioni bancarie.
2. Utilizza una password diversa per ogni account. Un gestore di password lo rende pratico.
3. Preferisci passphrase lunghe di diverse parole non correlate rispetto a stringhe brevi e complesse.
4. Attiva l’autenticazione a più fattori dove viene offerta.

Fonti

• Istituto Nazionale di Standard e Tecnologia, Linee guida sull’identità digitale, SP 800-63B (la lunghezza rispetto alla complessità forzata; confrontare le nuove password con elenchi di password violate): pages.nist.gov/800-63-4.
• Have I Been Pwned, Password Pwned e API della gamma k-anonymity: haveibeenpwned.com/Passwords.