Verificatore Robustezza Password gratis

Esempio pratico

Fai clic sulla casella «Password» e digita 9fK2!xQ. Compare come puntini; premi «Mostra» per leggerla. La pagina riporta Robustezza «Buona», Entropia «46 bit», «Hash veloce (10 mld di tentativi/s)» «2 ore» e «Hash lento, stile bcrypt (10K/s)» «206 anni». Poiché la password ha solo 7 caratteri, «Cosa correggere» dice «Corta: 7 caratteri. La lunghezza è ciò che conta di più.» e l'elenco «Requisiti password» segna «Almeno 8 caratteri» e «Almeno 12 caratteri» con un cerchio vuoto mentre le altre righe sono soddisfatte. Premi «Crea una passphrase sicura» per ottenere sei parole casuali, come proud-gate-merry-wise-brave-fancy, con l'etichetta «Passphrase casuale, circa 53 bit». Ora sostituisci il testo con Summer2024. La robustezza scende a «Molto debole», l'entropia a «0 bit», entrambi i tempi dicono «immediatamente», e «Cosa correggere» dice «È presente negli elenchi delle password più comuni.» e «Contiene un anno (2024), che i malintenzionati provano per primo.»

Quali impostazioni usare, e i limiti

• Leggi il punteggio come una stima. «Molto debole», «Debole», «Buona» e «Forte» derivano da una stima dell'entropia più il numero di requisiti soddisfatti. Sotto i 28 bit il punteggio non può salire oltre «Molto debole», sotto i 40 oltre «Debole» e sotto i 60 oltre «Buona». Una corrispondenza con l'elenco integrato di password comuni forza «Molto debole», e una password costruita su una parola o un nome comune resta ferma a «Debole». La nota color ambra «Solo euristica.» avverte che il punteggio si basa sulla struttura e su brevi elenchi integrati, quindi una password debole che non è in nessuno dei due elenchi può comunque ottenere un buon punteggio.
• Confronta i due tempi di violazione. Entrambi i valori dividono il numero di tentativi per una velocità di tentativi. «Hash veloce (10 mld di tentativi/s)» presume 10 miliardi di tentativi al secondo, come per un hash calcolato rapidamente. «Hash lento, stile bcrypt (10K/s)» presume 10.000 al secondo. La nota sotto le schede dice che le stime presuppongono un malintenzionato che ha rubato la password in forma di hash e prova offline, e che i siti che limitano i tentativi di accesso sono molto più difficili da attaccare. I tempi dicono «immediatamente» sotto il secondo, poi secondi fino ad anni, poi ad esempio 12K anni, «milioni di anni» e, oltre il miliardo di anni, «praticamente impossibile da violare».
• Usa la verifica facoltativa delle violazioni. Premi «Verifica contro violazioni note» per cercare la password nei dati di Have I Been Pwned. Il browser crea un hash SHA-1 della password, invia solo i suoi primi 5 caratteri a api.pwnedpasswords.com e confronta il resto sul tuo dispositivo, quindi la password in sé non viene mai inviata. La risposta è «Trovata in 12,345 violazioni note — non utilizzare questa password.» oppure «Non trovata in nessuna violazione nota.» Seleziona «Controlla automaticamente quando smetto di scrivere» per eseguirla 0,9 secondi dopo una pausa, a partire da 4 caratteri; la scelta viene ricordata in questo browser. Modificare la password cancella il vecchio risultato.
• Usa il pulsante della passphrase quando il punteggio non è Forte. «Crea una passphrase sicura» compare sotto «Cosa correggere» mentre qualcosa è digitato e il punteggio è «Molto debole», «Debole» o «Buona». Unisce sei parole con trattini, scelte con il generatore casuale sicuro del browser da un elenco di circa 490 brevi parole inglesi, e la etichetta «Passphrase casuale, circa 53 bit». «Copia» la copia e «Provala qui» la mette nella casella e la mostra. Il verificatore la valuta poi come caratteri ordinari, quindi il suo valore di Entropia è molto più alto di 53 bit. Fidati dell'etichetta di 53 bit, che conta solo la scelta casuale delle parole.
• Scopri cosa controlla l'elenco dei requisiti. L'elenco mostra «Almeno 8 caratteri», «Almeno 12 caratteri», lettere minuscole e maiuscole (oppure «Contiene lettere (di qualsiasi alfabeto)» per scritture senza maiuscole, come arabo, ebraico o cinese), «Contiene numeri», «Contiene caratteri speciali», «Non è una password comune», «Nessun carattere ripetuto (3+ volte)» e «Nessun modello comune (123, abc, qwerty, anni)». Il test sulle password comuni ignora maiuscole, accenti, cifre e simboli a entrambe le estremità, e le sostituzioni come @ per a e 0 per o, quindi P@ssw0rd!! viene individuata. «Cosa correggere» mostra al massimo due riscontri.
• Usa Mostra per controllare ciò che hai digitato. La casella nasconde la password come puntini e disattiva il controllo ortografico e le maiuscole automatiche. Premi «Mostra» per leggerla e «Nascondi» per coprirla di nuovo. La password vive solo nella pagina aperta; l'unica cosa salvata nel browser è l'impostazione per il controllo automatico delle violazioni. Le password in altri alfabeti vengono valutate in base alla scrittura: cirillico, greco, arabo, ebraico, armeno, georgiano, indiano, thailandese, kana giapponese, coreano e lettere cinesi aggiungono ciascuno un insieme di caratteri possibili e non vengono trattati come simboli.

Problemi comuni e come risolverli

Dice «Verifica violazione non riuscita — controlla la connessione e riprova.»

La ricerca delle violazioni è l'unica parte della pagina che usa la rete. Chiede a api.pwnedpasswords.com l'elenco dei suffissi di hash che condividono il tuo prefisso di 5 caratteri, e questo messaggio compare quando la richiesta fallisce o il servizio risponde con un errore. Controlla di essere online e che nulla blocchi quell'indirizzo, poi premi di nuovo «Verifica contro violazioni note». Il punteggio di robustezza non usa la rete, quindi continua a funzionare.

Robustezza dice «Molto debole» ed Entropia dice «0 bit» per una password che sembra complicata.

La password corrispondeva all'elenco di password comuni, il che imposta l'entropia a 0, entrambi i tempi di violazione a «immediatamente» e il punteggio a «Molto debole». La corrispondenza ignora maiuscole, accenti, cifre e simboli a entrambe le estremità, sostituzioni simili come 4 per a, 3 per e e 0 per o, e un «my» o «the» iniziale. Quindi Password123!, P@ssw0rd!! e mypassword contano tutte come la stessa password famosa. Scegli qualcosa che non abbia a che fare con una parola.

Dice «Costruita sulla parola comune “istanbul”.» (con la tua parola).

Dopo aver tolto cifre e simboli alle estremità e annullato le sostituzioni simili, la password è un nome, un mese, una città o una parola di uso comune dell'elenco integrato. Il punteggio viene allora tenuto al massimo a «Debole», e l'entropia è limitata al costo della parola stessa più pochi bit per le decorazioni: 3,4 bit per cifra, 5 per simbolo, 1 per una lettera maiuscola. Un anno alla fine vale circa 7 bit in tutto. Aggiungi parole non collegate, oppure usa il pulsante della passphrase.

Dice «Sequenza di tastiera o alfabeto “qwerty123”.» (con la tua sequenza).

Tre o più caratteri adiacenti di una riga della tastiera, di una diagonale come qazwsx, della riga dei numeri, dell'alfabeto o delle cifre da 0 a 9, in avanti o all'indietro, contano come una sequenza. Contano anche le stesse righe delle tastiere AZERTY e russe. I caratteri dentro una sequenza valgono un quarto della loro forza normale, e la riga «Nessun modello comune (123, abc, qwerty, anni)» non è soddisfatta. Spezza la sequenza con caratteri non collegati.

Il pulsante «Crea una passphrase sicura» non c'è.

Si trova dentro il pannello «Cosa correggere», che viene mostrato solo mentre la casella non è vuota e la robustezza è «Molto debole», «Debole» o «Buona». Quando il punteggio è «Forte» il pannello è nascosto, e con la casella vuota si vede solo il campo. Per ottenere una passphrase da una casella vuota, digita prima un testo breve qualsiasi, poi premi il pulsante.

Come si confronta

Questa pagina dà una stima, non un verdetto. Usa brevi elenchi integrati di password, nomi e parole comuni, un test sui modelli di tastiera e un modello di entropia basato sull'insieme di caratteri, e non sa nulla del tuo nome, del tuo compleanno o del sito per cui stai scegliendo una password. La verifica facoltativa delle violazioni usa il servizio pubblico a intervalli di Have I Been Pwned e ti dice solo se questa esatta password compare nei dati trapelati, non se ne compare una simile. Per le password di caratteri casuali la pagina rimanda al generatore di password («Genera una password forte») e crea da sé le passphrase. Non memorizza le password né controlla come un sito ne fa l'hash, quindi i due tempi di violazione sono ipotesi sulla velocità dell'attaccante.