بررسی قدرت رمز عبور رایگان

مثال عملی

روی کادر «رمز عبور» کلیک کنید و 9fK2!xQ را تایپ کنید. به‌صورت نقطه نمایش داده می‌شود؛ «نمایش» را بزنید تا بخوانید. صفحه قدرت «خوب»، آنتروپی «46 بیت»، «هش سریع (۱۰ میلیارد حدس در ثانیه)» «2 ساعت» و «هش کند، مثل bcrypt (۱۰ هزار در ثانیه)» «206 سال» را گزارش می‌کند. چون رمز فقط 7 کاراکتر دارد، «چه چیزی را اصلاح کنیم» می‌گوید «کوتاه: 7 کاراکتر. طول از همه مهم‌تر است.» و فهرست «الزامات رمز عبور» «حداقل ۸ کاراکتر» و «حداقل ۱۲ کاراکتر» را با دایره تو‌خالی علامت می‌زند و ردیف‌های دیگر قبول‌اند. «یک عبارت رمز قوی برایم بساز» را بزنید تا شش کلمه تصادفی بگیرید، مثل proud-gate-merry-wise-brave-fancy، با برچسب «عبارت رمز تصادفی، حدود 53 بیت». حالا متن را با Summer2024 عوض کنید. قدرت به «بسیار ضعیف» می‌افتد، آنتروپی به «0 بیت»، هر دو زمان «فوری» می‌شوند و «چه چیزی را اصلاح کنیم» می‌گوید «در فهرست رایج‌ترین رمزها هست.» و «شامل یک سال (2024) است، که مهاجمان اول آن را امتحان می‌کنند.»

کدام تنظیمات را استفاده کنید و محدودیت‌ها

• امتیاز را یک برآورد بدانید. «بسیار ضعیف»، «ضعیف»، «خوب» و «قوی» از یک برآورد آنتروپی به‌علاوه تعداد الزامات برآورده‌شده می‌آیند. زیر 28 بیت امتیاز از «بسیار ضعیف» بالاتر نمی‌رود، زیر 40 از «ضعیف» و زیر 60 از «خوب». تطابق با فهرست رمزهای رایج داخلی «بسیار ضعیف» را تحمیل می‌کند و رمزی که بر یک کلمه یا نام رایج ساخته شده در «ضعیف» نگه داشته می‌شود. یادداشت کهربایی «فقط اکتشافی.» هشدار می‌دهد که امتیاز بر ساختار و فهرست‌های کوتاه داخلی استوار است، پس رمز ضعیفی که در هیچ‌یک از دو فهرست نیست هنوز می‌تواند امتیاز خوب بگیرد.
• دو زمان شکستن را مقایسه کنید. هر دو رقم تعداد حدس‌ها را بر نرخ حدس تقسیم می‌کنند. «هش سریع (۱۰ میلیارد حدس در ثانیه)» 10 میلیارد حدس در ثانیه را فرض می‌کند، مثل هشی که سریع محاسبه می‌شود. «هش کند، مثل bcrypt (۱۰ هزار در ثانیه)» 10,000 در ثانیه را فرض می‌کند. یادداشت زیر کارت‌ها می‌گوید برآوردها مهاجمی را فرض می‌کنند که رمز هش‌شده را دزدیده و آفلاین حدس می‌زند، و سایت‌هایی که ورود را محدود می‌کنند حمله به آن‌ها بسیار سخت‌تر است. زمان‌ها زیر یک ثانیه «فوری» نوشته می‌شوند، بعد ثانیه تا سال، سپس مثلاً 12K سال، «میلیون‌ها سال» و، بعد از یک میلیارد سال، «عملاً شکستن‌ناپذیر».
• از بررسی اختیاری نقض داده استفاده کنید. «بررسی در برابر نقض‌های شناخته‌شده» را بزنید تا رمز در داده‌های Have I Been Pwned جست‌وجو شود. مرورگر یک هش SHA-1 از رمز می‌سازد، فقط 5 نویسه اول آن را به api.pwnedpasswords.com می‌فرستد و بقیه را روی دستگاه شما مقایسه می‌کند، پس خود رمز هرگز فرستاده نمی‌شود. پاسخ «در 12,345 نقض شناخته‌شده یافت شد» است همراه با توصیه به استفاده نکردن از آن، یا «در هیچ نقض شناخته‌شده‌ای یافت نشد.» «بررسی خودکار پس از توقف تایپ» را تیک بزنید تا 0.9 ثانیه بعد از مکث شما، از 4 نویسه به بالا، اجرا شود؛ این انتخاب در همین مرورگر به خاطر سپرده می‌شود. ویرایش رمز نتیجه قبلی را پاک می‌کند.
• وقتی امتیاز «قوی» نیست از دکمه عبارت رمز استفاده کنید. «یک عبارت رمز قوی برایم بساز» زیر «چه چیزی را اصلاح کنیم» ظاهر می‌شود وقتی چیزی تایپ شده و امتیاز «بسیار ضعیف»، «ضعیف» یا «خوب» است. شش کلمه را با خط تیره به هم می‌چسباند، که با مولد تصادفی امن مرورگر از فهرستی حدود 490 کلمه کوتاه انگلیسی انتخاب شده‌اند، و آن را «عبارت رمز تصادفی، حدود 53 بیت» برچسب می‌زند. «کپی» آن را کپی می‌کند و «آزمایش همین‌جا» آن را در کادر می‌گذارد و نمایش می‌دهد. بررسی‌کننده بعد آن را به‌عنوان کاراکترهای معمولی امتیاز می‌دهد، پس رقم آنتروپی‌اش بسیار بالاتر از 53 بیت است. به برچسب 53 بیت اعتماد کنید که فقط انتخاب تصادفی کلمه را می‌شمارد.
• بدانید فهرست الزامات چه چیزی را بررسی می‌کند. فهرست «حداقل ۸ کاراکتر»، «حداقل ۱۲ کاراکتر»، حروف کوچک و بزرگ (یا «شامل حروف (هر الفبایی)» برای خط‌هایی بدون حرف بزرگ و کوچک مثل عربی، عبری یا چینی)، «شامل اعداد»، «شامل کاراکترهای خاص»، «رمز عبور رایج نیست»، «بدون کاراکتر تکراری (۳+ بار)» و «بدون الگوهای رایج (123، abc، qwerty، سال‌ها)» را نشان می‌دهد. آزمون رمز رایج، بزرگی حروف، نشانه‌ها، ارقام و نمادهای دو سر رمز را نادیده می‌گیرد، و جایگزینی‌هایی مثل @ به‌جای a و 0 به‌جای o را خنثی می‌کند، پس P@ssw0rd!! گرفته می‌شود. «چه چیزی را اصلاح کنیم» حداکثر دو یافته نشان می‌دهد.
• از «نمایش» برای بررسی آنچه تایپ کرده‌اید استفاده کنید. کادر رمز را به‌صورت نقطه پنهان می‌کند و غلط‌یاب و حروف بزرگ خودکار را خاموش می‌کند. «نمایش» را بزنید تا بخوانید و «پنهان کردن» را بزنید تا دوباره بپوشانید. رمز فقط در صفحه باز می‌ماند؛ تنها چیزی که در مرورگر ذخیره می‌شود تنظیم بررسی خودکار نقض داده است. رمزها در الفبای دیگر بر اساس خط امتیاز می‌گیرند: سیریلیک، یونانی، عربی، عبری، ارمنی، گرجی، هندی، تایلندی، کانای ژاپنی، کره‌ای و حروف چینی هرکدام مجموعه‌ای از کاراکترهای ممکن اضافه می‌کنند و نماد حساب نمی‌شوند.

مشکلات رایج و راه حل آن‌ها

پیام «بررسی نقض ناموفق بود — اتصال خود را بررسی کنید و دوباره امتحان کنید.» را می‌بینید.

جست‌وجوی نقض داده تنها بخشی از صفحه است که از شبکه استفاده می‌کند. از api.pwnedpasswords.com فهرست پایان‌های هش را که پیشوند 5 نویسه‌ای شما را دارند می‌خواهد، و این پیام وقتی ظاهر می‌شود که آن درخواست شکست بخورد یا سرویس با خطا پاسخ دهد. بررسی کنید آنلاین هستید و چیزی آن نشانی را مسدود نکرده، سپس دوباره «بررسی در برابر نقض‌های شناخته‌شده» را بزنید. امتیاز قدرت از شبکه استفاده نمی‌کند، پس کار می‌کند.

قدرت «بسیار ضعیف» و آنتروپی «0 بیت» را برای رمزی که پیچیده به نظر می‌رسد نشان می‌دهد.

رمز با فهرست رمزهای رایج مطابقت داشت، که آنتروپی را روی 0، هر دو زمان شکستن را روی «فوری» و امتیاز را روی «بسیار ضعیف» می‌گذارد. تطابق بزرگی حروف، نشانه‌ها، ارقام و نمادهای دو سر، جایگزینی‌های شبیه مثل 4 به‌جای a، 3 به‌جای e و 0 به‌جای o، و «my» یا «the» ابتدایی را نادیده می‌گیرد. پس Password123!، P@ssw0rd!! و mypassword همه همان رمز مشهور حساب می‌شوند. چیزی انتخاب کنید که به یک کلمه ربط نداشته باشد.

پیام «بر پایه کلمه رایج «istanbul» ساخته شده.» را می‌بینید (با کلمه خودتان).

پس از حذف ارقام و نمادهای دو سر و خنثی کردن جایگزینی‌های شبیه، رمز یک نام، ماه، شهر یا کلمه روزمره از فهرست داخلی است. امتیاز آن‌گاه حداکثر در «ضعیف» نگه داشته می‌شود و آنتروپی به هزینه خود کلمه به‌علاوه چند بیت برای تزئین محدود می‌شود: 3.4 بیت برای هر رقم، 5 برای هر نماد، 1 برای یک حرف بزرگ. سال در انتها در مجموع حدود 7 بیت حساب می‌شود. کلمات نامرتبط اضافه کنید، یا از دکمه عبارت رمز استفاده کنید.

پیام «دنباله صفحه‌کلید یا الفبا «qwerty123».» را می‌بینید (با دنباله خودتان).

سه کاراکتر مجاور یا بیشتر از یک ردیف صفحه‌کلید، یک قطر مثل qazwsx، ردیف اعداد، الفبا یا ارقام 0 تا 9، به جلو یا عقب، یک دنباله حساب می‌شود. همان ردیف‌ها در صفحه‌کلیدهای AZERTY و روسی هم حساب می‌شوند. کاراکترهای داخل دنباله با یک‌چهارم قدرت عادی‌شان شمرده می‌شوند و ردیف «بدون الگوهای رایج (123، abc، qwerty، سال‌ها)» رد می‌شود. دنباله را با کاراکترهای نامرتبط بشکنید.

دکمه «یک عبارت رمز قوی برایم بساز» نیست.

داخل پنل «چه چیزی را اصلاح کنیم» قرار دارد، که فقط وقتی نمایش داده می‌شود که کادر خالی نباشد و قدرت «بسیار ضعیف»، «ضعیف» یا «خوب» باشد. وقتی امتیاز «قوی» است پنل پنهان است، و با کادر خالی فقط ورودی دیده می‌شود. برای گرفتن عبارت رمز از کادر خالی، اول هر متن کوتاهی تایپ کنید، بعد دکمه را بزنید.

مقایسه آن

این صفحه یک برآورد می‌دهد، نه حکم. از فهرست‌های کوتاه داخلی رمزها، نام‌ها و کلمات رایج، آزمون الگوی صفحه‌کلید و مدل آنتروپی بر پایه مجموعه کاراکتر استفاده می‌کند و چیزی درباره نام شما، تاریخ تولدتان یا سایتی که برایش رمز انتخاب می‌کنید نمی‌داند. بررسی اختیاری نقض داده از سرویس عمومی بازه Have I Been Pwned استفاده می‌کند و فقط می‌گوید این رمز دقیق در داده‌های لورفته هست یا نه، نه اینکه مشابهش هست. برای رمزهای کاراکتری تصادفی صفحه به مولد رمز («تولید یک رمز عبور قوی») پیوند می‌دهد و عبارت‌های رمز را خودش می‌سازد. رمزها را ذخیره نمی‌کند و بررسی نمی‌کند سایت چگونه هش می‌کند، پس دو زمان شکستن فرض‌هایی درباره سرعت مهاجم هستند.