Misuratore di robustezza delle password
Password Strength Meter
Stima quanto tempo servirebbe per forzare una password, indicando gli schemi che la indeboliscono.
Un misuratore che conta le classi di caratteri giudica `P@ssw0rd1` robusta e `mineral cobbler thrift` debole, e le sbaglia tutte e due al contrario: mettere la maiuscola alla prima lettera, cambiare la a in @ e aggiungere un 1 in fondo sono le prime regole che prova chi forza una password, non le ultime. Questo strumento stima i tentativi come li conterebbe un attaccante, cercando l’insieme di schemi più economico che ricostruisca la password.
La password viene misurata in questa scheda e da nessun’altra parte. Non viene inviata, non viene sottoposta ad hash, non viene salvata e non viene confrontata con nessun elenco di violazioni: farlo vorrebbe dire consegnare un pezzo di essa al server di qualcun altro.
Come viene misurato
Non contando le classi di caratteri. Qui si cercano gli schemi per cui uno strumento di cracking ha una regola a buon mercato — parole del dizionario, parole al contrario, sostituzioni con caratteri simili, sequenze di tasti, ripetizioni, progressioni, date — e si calcola il prezzo del modo più economico di montare la tua password con essi. È un’implementazione indipendente del modello zxcvbn (Wheeler, USENIX Security 2016), confrontata con 222 password comuni, 353 parole inglesi, 99 nomi e l’elenco di 7776 parole della EFF.
Gli elenchi di un attaccante vero sono più grandi di questi. Una password che questa pagina non riconosce può comunque essere in uno di loro: questo è un limite inferiore della difficoltà di indovinarla, che è l’unica direzione in cui una stima di robustezza può sbagliare onestamente.
Ti serve una che vada bene? Genera una passphrase oppure una password casuale.
Come si usa
Digitare o incollare la password
Non viene calcolato alcun hash, non viene conservato nulla e non viene inviato nulla. L’analisi gira sulla stringa che sta nella scheda, ed è per questo che qui non viene consultato alcun archivio di violazioni: quello è uno strumento a parte.
Leggere la scomposizione in schemi, non solo il punteggio
Lo strumento dà un nome a ogni segmento riconosciuto — una parola di dizionario, una sequenza sulla tastiera, una data, una ripetizione — e dice quanto costa quel segmento a un attaccante. Il segmento economico è quello da cambiare.
Confrontare le due velocità di attacco
Lo stesso numero di tentativi significa anni contro un accesso lento su un server e minuti contro un attacco fuori linea su un hash trafugato. Il giudizio va dato sul caso che vale per il posto in cui la password vive.
Domande frequenti
È zxcvbn?
Segue l’algoritmo pubblicato (Wheeler, USENIX Security 2016) ma è un’implementazione indipendente, con i dizionari propri di questo progetto, molto più piccoli. I numeri hanno la stessa forma di quelli di zxcvbn, non sono identici a essi.
Dice che la mia password è robusta. È sicura?
Significa che questo strumento non ci ha trovato dentro alcuno schema economico. Un elenco di parole che un attaccante possiede e questo strumento no la rompe lo stesso, e una password riusata su un sito già violato è rotta a prescindere dal punteggio. Va controllata anche con lo strumento delle violazioni.
Perché aggiungere un simbolo in fondo aiuta così poco?
Perché è una regola, e le regole costano poco. Una sessione di forzatura accoda per prassi ogni simbolo a ogni parola del dizionario, quindi un simbolo moltiplica il lavoro per qualche decina e non per la dimensione dell’alfabeto. Aggiungere parole lo moltiplica molto di più.
La password esce dalla scheda?
No. In questo strumento non c’è alcuna richiesta di rete, nemmeno un prefisso di hash, ed è per questo che la ricerca nelle violazioni è tenuta deliberatamente separata.
Può ricevere da
Verifica di bcrypt e argon2
bcrypt & argon2 Checker
Calcola l’hash di una password con bcrypt al costo che scegli e confronta una password con un hash bcrypt esistente. Riconosce argon2 ma non lo calcola.
Generatore di password
Password Generator
Genera password casuali con regole di lunghezza, insieme di caratteri ed esclusione dei caratteri ambigui, anche a blocchi.
Generatore di passphrase
Passphrase Generator
Costruisce una passphrase in stile diceware da un elenco di parole, mostrando l’entropia in bit.
Verifica delle password compromesse
Breach Check
Controlla se una password compare nei dati di violazione di Have I Been Pwned, inviando dal browser solo i primi cinque caratteri del suo hash SHA-1 (k-anonimato).
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Verifica delle password compromesse
Breach Check
Controlla se una password compare nei dati di violazione di Have I Been Pwned, inviando dal browser solo i primi cinque caratteri del suo hash SHA-1 (k-anonimato).
Misuratore di entropia
Entropy Meter
Misura l’entropia di Shannon di una stringa o di un file e mostra l’istogramma dei byte: utile per riconoscere una chiave.
Generatore di passphrase
Passphrase Generator
Costruisce una passphrase in stile diceware da un elenco di parole, mostrando l’entropia in bit.
Generatore di password
Password Generator
Genera password casuali con regole di lunghezza, insieme di caratteri ed esclusione dei caratteri ambigui, anche a blocchi.
Verifica CORS
CORS Tester
Invia la preflight che manderebbe un browser da un’origine scelta più una GET con quell’Origin, e spiega secondo le regole dello standard Fetch quale intestazione ha bloccato la richiesta.
Convertitore di valuta
Currency Converter
Converte fra una trentina di valute ai tassi di riferimento giornalieri della BCE, passando per l’euro, oppure a un tasso che indichi tu.