Sprawdzanie siły hasła + kod miernika siły do formularzy rejestracji | We.Inc
Sprawdź, jak łatwo odgadnąć hasło, w całości w Twojej przeglądarce, z szacowanym czasem złamania i wzorcami, które je osłabiają. Potem skopiuj miernik siły hasła w React lub czystym JavaScript z przyciskiem pokazywania hasła.
Silne hasło to takie, którego atakujący nie odgadnie w rozsądnej liczbie prób. Najważniejsza jest długość, a potem unikanie popularnych haseł, słów, ciągów klawiszy i dat. Wpisz hasło poniżej, aby otrzymać offline szacunek liczby prób i czasu złamania, a potem skopiuj gotowy miernik siły z przyciskiem pokazywania hasła do własnego formularza rejestracji.
Czego obecne wytyczne NIST wymagają od formularzy rejestracji
Zasada
NIST SP 800-63B
Minimalna długość
15 znaków, gdy hasło jest jedynym składnikiem; 8, gdy jest używane z innym składnikiem
Maksymalna długość
Zezwalaj na co najmniej 64 znaki
Reguły składu (musi zawierać symbol...)
Nie narzucaj ich
Wymuszone okresowe zmiany
Nie wymagaj ich; wymuszaj zmianę tylko po naruszeniu
Lista zablokowanych
Odrzucaj popularne, przewidywalne lub wyciekłe hasła
Wklejanie i menedżery haseł
Zezwalaj na nie
Narzędzie dzieli Twoje hasło na fragmenty, które atakujący sprawdziłby najpierw, i mnoży liczbę prób potrzebnych dla każdego fragmentu. Nic, co wpiszesz, nie opuszcza tej strony. Poniżej znajdziesz dwa mierniki siły do wklejenia w formularz rejestracji: jeden dla React z Tailwind i jeden w czystym JavaScript.
Wpisz hasło. Szacunek aktualizuje się po każdym klawiszu i nigdy nie opuszcza Twojej przeglądarki.
Odczytaj ocenę od bardzo słabego do bardzo silnego, szacowaną liczbę prób i czas złamania w czterech scenariuszach ataku.
Zobacz, które fragmenty rozpoznano jako popularne hasła, słowa, ciągi klawiszy, sekwencje, powtórzenia lub lata, z ostrzeżeniem dla każdego.
Skopiuj miernik w React lub czystym JavaScript do własnego formularza. Oba mają przycisk pokazywania hasła i ogłaszają zmiany czytnikom ekranu.
Trzy lub cztery losowe słowa z rzędu są lepsze niż krótka mieszanka symboli i dużo łatwiej wpisać je na telefonie.
Używaj menedżera haseł i pozwól mu generować hasła. Najlepsze hasło to takie, którego nigdy nie musisz pamiętać.
We własnym formularzu rejestracji sprawdzaj nowe hasła na serwerze z listą wycieków. Have I Been Pwned oferuje darmowe API zakresów, które nigdy nie otrzymuje pełnego skrótu hasła.
Ustaw autocomplete="new-password" na polach rejestracji i autocomplete="current-password" na polach logowania, aby menedżery haseł proponowały właściwą akcję.
Najczęściej zadawane pytania
Czy mogę bezpiecznie wpisać tu moje prawdziwe hasło?
Sprawdzanie działa w całości w Twojej przeglądarce, a strona nie wysyła żadnego żądania sieciowego z tym, co wpisujesz. Mimo to najbezpieczniejszym nawykiem jest testowanie hasła o takiej samej budowie jak Twoje prawdziwe, a nie samego prawdziwego hasła.
Jak dokładny jest czas złamania?
To szacunek. Narzędzie korzysta z krótkich wbudowanych list popularnych haseł i słów, więc hasło zbudowane z mniej popularnego słowa może dostać tu wyższą ocenę, niż na to zasługuje. Cztery scenariusze zakładają typowe prędkości ataku, od formularza logowania z limitem prób po skradzioną bazę danych z szybkim skrótem. Prawdziwi atakujący używają też list wyciekłych haseł i reguł znacznie większych niż wszystko, co może dostarczyć strona internetowa.
Czy mój formularz rejestracji powinien wymagać symbolu i cyfry?
Obecne wytyczne NIST mówią, że nie. Reguły składu popychają ludzi w stronę przewidywalnych wzorców, takich jak Password1!, które spełniają regułę, a i tak dają się odgadnąć. Minimalna długość plus sprawdzanie popularnych i wyciekłych haseł robi więcej dla bezpieczeństwa.
Zamaskowane pola powodują literówki, szczególnie na telefonach, a literówki prowadzą do blokad konta i resetowania haseł. Przełącznik pozwala sprawdzić, co się wpisało. Użyj prawdziwego przycisku z czytelną etykietą i przełączaj typ pola między password a text.
Czy kod miernika sprawdza hasła pod kątem wycieków?
Nie. Mierniki oceniają w przeglądarce długość, różnorodność i kilka oczywistych wzorców, aby ludzie dostawali szybką informację zwrotną. Prawdziwa bramka powinna być na Twoim serwerze: to tam egzekwuj minimalną długość i odrzucaj hasła znalezione na listach wycieków.
Dlaczego długość wygrywa ze złożonością
Każdy dodatkowy znak mnoży liczbę możliwych haseł. Dodanie jednej losowej małej litery mnoży ją przez 26, a zamiana a na @ w słowie nie dodaje prawie nic, bo atakujący stosują takie zamiany automatycznie.
Dlatego szacunek nagradza długie frazy hasłowe. Cztery niepowiązane słowa mogą osiągnąć najwyższy poziom, a jednocześnie łatwo je wpisać, o ile nie są znanym cytatem ani fragmentem piosenki.
Jak zbudować miernik, któremu ludzie ufają
Dobry miernik daje informację zwrotną dokładnie zgodną z regułami serwera. Jeśli miernik mówi, że hasło jest silne, a serwer je potem odrzuca, ludzie przestają ufać obu. Trzymaj reguły w jednym miejscu i pokazuj w obu te same komunikaty.
Ogłaszaj zmiany uprzejmie za pomocą aria-live, aby użytkownicy czytników ekranu słyszeli wynik bez utraty miejsca, i nigdy nie polegaj wyłącznie na kolorze: łącz pasek z etykietą tekstową, taką jak Słabe lub Silne.
Miernik siły w React + Tailwind z pokazywaniem hasła
Kontrolowane pole hasła z przyciskiem pokaż i ukryj, czterostopniowym paskiem, listą reguł i dynamiczną etykietą tekstową dla czytników ekranu.
Miernik w czystym HTML i JavaScript
Ten sam pomysł bez frameworka. Wklej go na dowolną stronę; skrypt dotyka tylko elementów wewnątrz kontenera.
Bardzo słabe
Słabe
Przeciętne
Silne
Bardzo silne
popularne hasło
zwykłe słowo
ciąg klawiszy
losowe znaki
Zawiera jedno z najpopularniejszych haseł. Atakujący sprawdzają je jako pierwsze.
Zawiera zwykłe słowo. Zamiana liter na symbole (a na @) niewiele pomaga.
Zawiera ciąg sąsiednich klawiszy, taki jak qwerty lub 1qaz.
Zawiera sekwencję, taką jak abc lub 1234.
Zawiera powtarzające się znaki.
Zawiera rok. Lata urodzenia i ostatnie lata są odgadywane wcześnie.
Krótsze niż 15 znaków. Długość dodaje więcej siły niż symbole.
Online, z limitem prób (100 prób na godzinę)
Online, bez limitu prób (10 prób na sekundę)
Skradziona baza danych, wolny skrót, np. bcrypt (10 tysięcy na sekundę)
Skradziona baza danych, szybki skrót, np. MD5 (10 miliardów na sekundę)
Sprawdź hasło
Hasło (zostaje na tym urządzeniu)
Ukryj
Pokaż
około 10^{n} prób
Średni czas odgadnięcia
Zacznij pisać, aby zobaczyć szacunek.
Kod miernika siły
Dwa mierniki do wklejenia w formularz rejestracji. Reguły serwera utrzymuj takie same jak reguły miernika.
Wypróbuj miernik w czystym JavaScript
Działający miernik siły hasła w czystym JavaScript