Stimatore del tempo di cracking delle password
Digita una password e visualizza un calcolo trasparente dell'entropia e stime oneste del tempo di cracking in diversi scenari di attacco chiaramente indicati. Tutto avviene nel browser, nessun punteggio misterioso.
🔒 Elaborato interamente nel tuo browser: nulla di ciò che inserisci qui verrà mai caricato.
Risultato
La maggior parte dei misuratori di robustezza delle password mostra una barra colorata e un'etichetta inventata – "debole", "buona", "forte" – senza modo di verificare il ragionamento sottostante. Questo strumento fa il contrario: mostra ogni passaggio del calcolo. Digita una password e osserva come rileva i set di caratteri che hai usato (minuscole, maiuscole, cifre, simboli), calcola la dimensione del set risultante e inserisce la lunghezza esatta e la dimensione del set nella formula standard dell'entropia, entropia = lunghezza × log₂(dimensione set), così puoi verificare tu stesso il numero invece di fidarti di una scatola nera.
L'entropia da sola non racconta tutta la storia, perciò lo strumento cerca anche gli schemi che rendono una password più facile da indovinare di quanto suggerisca la sua lunghezza grezza: sequenze consecutive di caratteri come "abc" o "456", ripetizioni come "aaa" e corrispondenze esatte con una piccola lista interna di circa 100 tra le password più comuni mai pubblicate. Non c'è alcuna connessione a un database di violazioni in tempo reale – è un'euristica onesta e offline – ma quando viene trovata una corrispondenza, l'entropia effettiva usata per la tabella dei tempi di cracking viene ridotta (o, nel caso di una password comune, limitata a un valore vicino alla dimensione di quella lista) perché un vero attaccante proverebbe per prime le ipotesi ovvie, indipendentemente dalla dimensione teorica dello spazio delle chiavi.
La tabella dei tempi di cracking trasforma quell'entropia effettiva in stime di tempo reali in cinque scenari che coprono la gamma realistica degli attacchi: un modulo di login online con limitazione dei tentativi (~100 tentativi al secondo), un modulo online senza limitazione (~1.000 tentativi al secondo), un attacco offline contro un hash lento e deliberatamente costoso come bcrypt, scrypt o Argon2 (~10.000 tentativi al secondo), un attacco offline contro un hash veloce e senza salt come MD5, SHA-1 o NTLM su una singola GPU consumer (~10 miliardi di tentativi al secondo) e lo stesso hash veloce forzato su un grande cluster multi-GPU (~1 bilione di tentativi al secondo). Queste velocità sono cifre indicative, basate su benchmark hardware e di hashing comunemente pubblicati – non una previsione legata a un attaccante, dispositivo o anno specifico – e sono esattamente il motivo per cui la stessa password può essere "istantanea" contro un hash veloce offline e "secoli" contro uno lento con limiti di tentativi.
Tutto quanto sopra funziona come semplice analisi di stringhe JavaScript e aritmetica Math.log2 direttamente nella scheda del tuo browser. Non c'è hashing crittografico, nessun round-trip al server e, cosa più importante, nessuna richiesta di rete di alcun tipo in questo strumento – la password che digiti non viene mai trasmessa, registrata o archiviata da nessuna parte, e l'intera pagina continua a funzionare se disconnetti la connessione internet dopo il caricamento.