Jak silne jest hasło i ile trwa jego złamanie?
Hasło z ośmiu małych liter pada w ataku lokalnym w 10,4 sekundy, a dwunastoznakowe z literami i cyframi trzyma 5,1 tysiąca lat; między jednym a drugim leży wyłącznie matematyka kombinacji. Kalkulator liczy entropię hasła i średni czas ataku siłowego z długości i rodzaju znaków. Samego hasła nigdzie nie wpisujesz: do wyniku wystarczą parametry, więc nic nie opuszcza przeglądarki.
Wzór i przykład
kombinacje = zestaw^długość; entropia = długość × log₂(zestaw); czas = kombinacje ÷ 2 ÷ prędkość ataku
- Hasło 12 znaków z liter i cyfr: zestaw 62, entropia 12 × log₂(62) = 71,5 bitu.
- Kombinacji jest 62¹², a atak przechodzi średnio połowę z nich.
- Przy 10 miliardach prób na sekundę daje to 5,1 tysiąca lat; ocena: mocne.
| Hasło | Entropia | Atak lokalny (10 mld prób/s) | Atak przez logowanie (100 prób/s) |
|---|---|---|---|
| 6 małych liter | 28,2 bitu | poniżej sekundy | 17,9 dnia |
| 8 małych liter | 37,6 bitu | 10,4 s | 33,1 roku |
| 8 znaków, litery i cyfry | 47,6 bitu | 3 godz. | 34,6 tys. lat |
| 10 znaków, litery i cyfry | 59,5 bitu | 1,3 roku | 133 mln lat |
| 12 znaków, litery i cyfry | 71,5 bitu | 5,1 tys. lat | 511,2 mld lat |
| 12 znaków, pełny zestaw | 78,7 bitu | 754,1 tys. lat | ponad bilion lat |
| 16 znaków, pełny zestaw | 104,9 bitu | ponad bilion lat | ponad bilion lat |
Tabela pokazuje, dlaczego zalecenia mówią dziś o co najmniej 12 znakach: każda dodatkowa pozycja mnoży czas łamania kilkudziesięciokrotnie, podczas gdy wymiana litery na wykrzyknik zmienia go tylko o ułamek. Czasy dotyczą haseł losowych; hasło ze słownika albo z datą urodzenia pada w sekundy, bo atak zaczyna się od list znanych haseł.
Najczęstsze pytania
Jak długo trwa złamanie hasła 8 znaków?
Zależy od zestawu znaków i rodzaju ataku. Osiem małych liter pada lokalnie w 10,4 sekundy, a osiem znaków z literami i cyframi w około 3 godziny. Dopiero 12 znaków z literami i cyframi daje 5,1 tysiąca lat, dlatego obecne zalecenia mówią o co najmniej 12 znakach.
Co lepiej wzmacnia hasło: długość czy znaki specjalne?
Długość. Wydłużenie hasła z 8 do 12 małych liter zwiększa liczbę kombinacji 456 976 razy, a dodanie do 8-znakowego hasła pełnego zestawu znaków specjalnych tylko około 29 190 razy. Najsilniejsze są długie frazy: cztery losowe słowa pamięta się łatwiej niż osiem przypadkowych symboli, a łamie znacznie dłużej.
Co to jest entropia hasła?
Miara nieprzewidywalności w bitach: entropia = długość × log₂(rozmiar zestawu znaków). Każdy bit podwaja liczbę kombinacji. Hasła poniżej 40 bitów uznaje się dziś za słabe, 60 do 80 bitów za mocne, a powyżej 80 bitów za bardzo mocne nawet wobec ataku sprzętowego.
Dlaczego kalkulator nie prosi o wpisanie hasła?
Bo prawdziwego hasła nie należy wpisywać nigdzie poza formularzem logowania, także do sprawdzarek. Do oceny siły wystarczy długość i rodzaj znaków, a wynik jest identyczny. Nic nie opuszcza przy tym Twojej przeglądarki.
Czy mocne hasło wystarczy, żeby konto było bezpieczne?
Nie, bo hasło wycieka też z winy serwisów, a nie tylko przez zgadywanie. Poza siłą hasła liczy się unikalność (jedno hasło na jeden serwis), menedżer haseł i uwierzytelnianie dwuskładnikowe, które zatrzymuje atak nawet po poznaniu hasła.