Оценка в браузере
Пароль разбирается на шаблоны: частые пароли, словарные слова, даты, ряды клавиш, русские слова в английской раскладке. По ним считается, сколько попыток понадобится на подбор.
Проверка надёжности пароля и утечки
Введите пароль: сразу покажем, насколько он стойкий и за сколько его можно подобрать. По кнопке проверим, встречался ли он в известных утечках, по базе Have I Been Pwned. Пароль не покидает ваш браузер.
Оценка считается прямо в браузере. Для проверки утечки наружу уходят только первые 5 символов SHA-1 хэша, сам пароль не передаётся ни нам, ни кому-то ещё.
Как это работает
Две проверки и ни одной передачи пароля: оценка стойкости идёт в браузере, а проверка утечки использует метод k-anonymity.
Проверка по 5 символам хэша
По кнопке браузер считает SHA-1 и отправляет в Have I Been Pwned только первые 5 символов. Сравнение с ответом идёт на вашем устройстве.
Ничего не сохраняем
Пароль хранится только в открытой вкладке. Он не попадает в адрес страницы, журналы и аналитику, а запись поля в Вебвизоре отключена.
Что делает пароль надёжным
Длина
Каждый символ умножает число вариантов. Фраза из 20 символов надёжнее короткого пароля со спецсимволами.
Непредсказуемость
Имена, даты, слова и ряды клавиш подборщики перебирают в первую очередь. Случайные слова и символы так не угадать.
Уникальность
Пароль, который стоит на нескольких сайтах, достаточно украсть один раз. Свой пароль на каждый сайт закрывает эту проблему.
Другие инструменты LiMP
Бесплатные проверки сети, приватности и безопасности прямо в браузере — без установки и регистрации.
Длина или сложность
Стойкость пароля зависит от того, сколько вариантов придётся перебрать, чтобы его угадать. Длина увеличивает это число быстрее всего: каждый новый символ умножает его в десятки раз. Замена букв на цифры и спецсимволы по шаблону (@ вместо a, 0 вместо o) почти ничего не даёт, потому что такие замены подборщики проверяют автоматически.
Поэтому пароль «Pa$$w0rd» слабый, хотя в нём есть всё, что требуют формы регистрации, а фраза из четырёх случайных слов надёжная, хотя в ней только строчные буквы.
Парольные фразы
Парольная фраза — это несколько случайных слов подряд, например «облако-ложка-мост-тетрадь». Её легко запомнить и ввести с телефона, а по стойкости она не уступает длинному случайному паролю. Важно, чтобы слова выбирал генератор, а не вы: цитаты, строчки песен и осмысленные предложения подбираются гораздо быстрее.
Менеджер паролей
Запомнить десятки уникальных паролей невозможно, и не нужно. Менеджер паролей хранит их в зашифрованном виде и подставляет сам, а вам остаётся один мастер-пароль. Для него как раз подходит парольная фраза. Вместе с двухфакторной аутентификацией это закрывает большинство способов взлома аккаунтов.
Что делать, если пароль найден в утечке
- Смените пароль на всех сайтах, где он стоит, начиная с почты: через неё восстанавливают доступ к остальным аккаунтам.
- Новый пароль сделайте уникальным, а не вариацией старого вроде «пароль2» вместо «пароль1».
- Включите двухфакторную аутентификацию там, где она есть.
- Проверьте в настройках аккаунтов список активных сессий и подключённых устройств.
Частые вопросы о проверке паролей
Пароль не уходит на наши серверы: оценка считается в браузере, а для проверки утечки в Have I Been Pwned отправляются только первые 5 символов его SHA-1 хэша. Поле исключено из записи Вебвизора, пароль не попадает в адрес страницы и журналы. И всё же надёжнее проверять не действующий пароль, а тот же шаблон с изменёнными символами.
Это способ проверить пароль по базе, не раскрывая его. Браузер считает хэш и отправляет только его начало, 5 символов. Сервис возвращает все хэши с таким началом, обычно несколько сотен, а какой из них ваш, определяется на вашем устройстве. Сервис не знает ни пароля, ни полного хэша.
Столько раз этот пароль встретился в публичных утечках, собранных Have I Been Pwned. Даже одно совпадение означает, что пароль есть в словарях подбора и его попробуют одним из первых. Такой пароль нужно сменить везде, где он используется.
Отсутствие в базе не делает пароль стойким: короткий или предсказуемый пароль подберут и без утечки. Смотрите на оценку стойкости. И если пароль стоит на нескольких сайтах, лучше заменить его на уникальные.
Мы оцениваем, сколько попыток нужно, чтобы угадать пароль, с учётом частых паролей, словарей, дат, рядов клавиш и смены раскладки. Затем делим на скорость подбора: около 100 попыток в час через форму входа и около 10 млрд в секунду, если утекла база с быстрыми хэшами. Это ориентир, а не точный прогноз.
Генератор создаёт новый случайный пароль. Здесь можно проверить пароль, который вы придумали сами, или шаблон корпоративной политики. Если пароль окажется слабым, новый удобно сделать в генераторе.
Здесь нет: мы не принимаем адреса почты. Проверить, в каких утечках встречался ваш email, можно на сайте haveibeenpwned.com. Это внешний сервис, адрес вы вводите напрямую у них.