Passwort-Stärke-Prüfer

Der Passwortstärkenprüfer misst, wie schwer ein Passwort zu erraten wäre, und zeigt das Ergebnis als klare Stärke, eine Entropiezahl in Bits und geschätzte Risszeiten gegen verschiedene Arten von Angreifern. Geben Sie ein Passwort ein oder fügen Sie die Aktualisierungen des Messgeräts sofort ein oder fügen Sie eine Liste bestimmter Schwachstellen und Vorschläge ein, um es zu stärken.

Bei Stärke geht es hier nicht darum, ob ein Passwort kompliziert "ausschaut" Es geht darum, wie viele Vermutungen ein Angreifer vor der Landung versuchen müsste Das Tool schätzt diesen Suchraum aus der Länge des Passworts und der Mischung der Zeichentypen, reduziert dann die Schätzung, wenn es Muster entdeckt, die ein Passwort vorhersehbar machen - häufig durchgesickerte Passwörter, Tastaturläufe, wiederholte Blöcke oder einen einzelnen Zeichentyp Das ergibt ein ehrlicheres Bild als eine naive Checkliste von "ein Symbol hinzufügen".

Kritischerweise verlässt das Passwort Ihr Gerät nie. Alle Analysen werden in Ihrem Browser in einfachem Javascript ausgeführt, wobei nichts eingegeben, eingefügt oder generiert wird, die hochgeladen, protokolliert oder gespeichert werden. Das bedeutet, dass es sicher ist, echte Passwörter zu testen, und das Tool funktioniert ohne Netzwerkverbindung, sobald die Seite geladen wurde. Verwenden Sie es, um ein Passwort zu überprüfen, bevor Sie sich dazu verpflichten, oder um zu verstehen, warum ein Passwort, das Sie für stark hielten, möglicherweise nicht der Fall ist.

Entropie ist nur dann ein ehrliches Maß, wenn das Passwort zufällig generiert wurde, und von Menschen gewählte Passwörter sind es selten, Zeichen in einem bekannten Wort zu ersetzen, sieht stark aus zu einem naiven Zeichen-Zählungs-Score und ist in der Praxis schwach, denn Cracking-Tools wenden genau diese Substitutionen als Regeln an: P@ssw0rd1 hat die Form eines starken Passworts und erscheint in jeder Wortliste Deshalb kommt es hier mehr auf die Mustererkennung an als auf die Komposition. Crack-Time-Schätzungen gehen von einem Offline-Angriff gegen einen schnellen Hash aus, was die pessimistische und korrekte Annahme für eine durchgesickerte Datenbank ist, und sie sagen nichts darüber aus, ob das Passwort bereits in einem Bruch aufgetaucht ist. Länge und Unvorhersehbarkeit sind, was hilft.