Odhad času prelomenia hesla

Väčšina meračov sily hesla zobrazuje farebný pruh a vymyslený štítok – „slabé“, „dobré“, „silné“ – bez možnosti overiť odôvodnenie. Tento nástroj robí opak: zobrazuje každý krok výpočtu. Zadajte heslo a sledujte, ako zistí, ktoré znakové sady ste použili (malé, veľké písmená, číslice, symboly), spočítajte výslednú veľkosť oblasti a zapojte presnú dĺžku a veľkosť vášho hesla do štandardného vzorca entropie, entropia = dĺžka x log2 (veľkosť oblasti), aby ste si mohli overiť číslo sami a nedôverovať čiernej skrinke.

Samotná entropia nehovorí celý príbeh, takže nástroj tiež hľadá vzory, ktoré uľahčujú uhádnutie hesla, ako naznačuje jeho hrubá dĺžka: postupné spúšťanie znakov ako „abc“ alebo „456“, opakovanie znakov ako „aaa“ a presné zhody s malým združeným zoznamom približne 100 najbežnejších uniknutých hesiel, aké boli kedy zverejnené. Nič z toho nie je spojenie so živou databázou narušenia – je to poctivá, offline heuristika – ale keď sa nájde zhoda, efektívna entropia použitá pre tabuľku času prelomenia sa zníži (alebo v prípade zhody so spoločným heslom je obmedzená na veľkosť tohto zoznamu), pretože skutočný útočník by najskôr vyskúšal zrejmé odhady bez ohľadu na teoretickú veľkosť kľúčového priestoru.

Tabuľka času cracku premieňa túto efektívnu entropiu na odhady v reálnom čase v rámci piatich scenárov, ktoré pokrývajú realistický rozsah útokov: online prihlasovací formulár s obmedzením rýchlosti (~100 odhadov/sekundu), online formulár bez obmedzenia rýchlosti (~1 000 odhadov/sekundu), offline útok proti pomalému, zámerne drahému hashu, ako je bcrypt, scrypt alebo Argon2 (takýchto rýchlych 00 odhadovaných sekúnd/0, offline útok ako MD5, SHA-1 alebo NTLM na jedinom spotrebiteľskom GPU (~ 10 miliárd odhadov za sekundu) a rovnaký rýchly hash prasknutý na veľkom klastri s viacerými GPU (~ 1 bilión odhadov za sekundu). Tieto miery sú ilustratívne, rádové čísla získané z bežne publikovaných hardvérových a hašovacích benchmarkov – nejde o predpoveď viazanú na konkrétneho útočníka, zariadenie alebo rok – a sú presne tým dôvodom, prečo môže byť rovnaké heslo „okamžité“ proti rýchlemu offline hashu a „stáročia“ proti pomalému, s obmedzenou rýchlosťou.

Všetko vyššie funguje ako jednoduchá analýza reťazcov JavaScript a aritmetika Math.log2 priamo na karte vášho prehliadača. V tomto nástroji nie je žiadne kryptografické hashovanie, žiadna spiatočná cesta servera a, čo je najdôležitejšie, žiadna sieťová požiadavka akéhokoľvek druhu – heslo, ktoré zadáte, sa nikdy neprenesie, nezaprotokoluje ani nikde neuloží a celá stránka funguje aj naďalej, ak sa po načítaní odpojíte od internetu.