Verificador de força de senha: quanto tempo para quebrar + verificação de violação

Digite uma senha no verificador acima. Nada que você digita é enviado para este site ou armazenado em qualquer lugar: a estimativa de força é executada em seu navegador e a verificação de violação usa uma pesquisa de preservação de privacidade explicada abaixo.

O que o verificador mede

• Comprimento e variedade de caracteres. Cada caractere extra multiplica o número de senhas possíveis; comprimento ajuda muito mais do que trocar uma letra por um símbolo.
• Padrões previsíveis. Senhas comuns, sequências de teclado (qwerty, 123), caracteres repetidos e anos cortados o espaço de busca real, então a estimativa os subtrai.
• Violações. Uma senha que já aparece em uma violação pode ser tentada primeiro pelos invasores, não importa quão complexa seja parece, então um detecção de violação anula uma boa pontuação de força.

Os tempos de adivinhação pressupõem um ataque offline de 10 bilhões de tentativas por segundo (um banco de dados roubado com um hash rápido) e um ataque online a 100 tentativas por segundo (uma página de login sem bloqueio). Ataques reais usam listas de palavras e regras, portanto trate os números como um limite superior para senhas de aparência aleatória e um limite generoso para qualquer outra coisa.

Como a verificação de violação mantém sua senha privada

O verificador calcula o hash SHA-1 da sua senha no navegador e envia apenas os primeiros cinco caracteres hexadecimais para o serviço Pwned Passwords do Have I Been Pwned. O serviço retorna todos os hashes violados que começam com esses cinco caracteres (geralmente cerca de 2.000 deles) e o verificador procura o seu localmente. Isso é chamado k-anonimato: o serviço nunca descobre qual senha, ou mesmo qual hash completo, você verificou.

O que fazer se uma senha for fraca ou violada

1. Altere-a em todos os lugares em que você o usou, começando por e-mail e serviços bancários.
2. Use uma senha diferente para cada conta. Um gerenciador de senhas torna isso prático.
3. Prefira senhas longas com várias palavras não relacionadas a sequências curtas e complexas.
4. Ative a autenticação multifator onde ela for oferecida.

Fontes

• Instituto Nacional de Padrões e Tecnologia, Diretrizes de Identidade Digital, SP 800-63B (comprimento em vez de complexidade forçada; verificar novas senhas em listas de senhas violadas): pages.nist.gov/800-63-4.
• Have I Been Pwned, Pwned Passwords e a API de intervalo k-anonimato: haveibeenpwned.com/Passwords.