Popüler araçlar

Tema

Şifrem ne kadar güçlü? Şifre güvenlik testi

Şifrenizin bir saldırıda ne kadar sürede kırılacağını, hangi desenlerin onu ele verdiğini ve bir veri ihlalinde görünüp görünmediğini öğrenin. Bu şifre güvenliği sorgulama aracı, şifrenizi asla göndermez: cihazınızdan yalnızca hash'inin 5 karakteri çıkar.

Desen tahmini: zxcvbn-ts, düzeltilmiş · saldırı hızları: hashcat kıyaslamaları · ihlal verisi: Have I Been Pwned · hiçbir şey saklanmaz
Bu tarayıcıda kontrol edildi
Saldırganın tahmin edeceği her parça burada görünür:
  • Yaygın şifre
  • Kelime
  • Ad
  • Yıl
  • Klavye
  • Tekrar
  • Rastgele

Tarayıcınızda test edilir. Sızıntı kontrolü için yalnızca SHA-1 hash'inin 40 karakterinden ilk 5'i dışarı çıkar.

Dene

Ne kadar çabuk çözülür?

Bir şifre yazın veya yapıştırın: sonuç siz yazdıkça güncellenir.

Saldırganın tahmin etmesi gereken bit
0128

Neleri kontrol eder

  • Desenler: saldırganların ilk denediği 49.233 yaygın şifre, kelimeler ve adlar, yıllar, klavye dizileri, tekrarlar ve benzer karakter değişimleri.
  • Veri ihlalleri: Have I Been Pwned'deki yaklaşık 2,07 milyar sızdırılmış şifre, k-anonimlik yöntemiyle.
  • Sekiz saldırı: 100 denemeden sonra kilitlenen bir giriş sayfasından, 100 ekran kartındaki NTLM hash'lerine kadar.

Şifrem ne kadar güçlü?

Saldırganın ona ulaşmak için gereken tahmin sayısı kadar; saldırganlar da olası şifreleri önce dener: yaygın şifreler, kelimeler ve adlar, yıllar, klavye dizileri ve değiştirilmiş harfler, rastgele dizilerden çok önce. Test bu tahminleri sayar.

Yazdığınızı saldırganların denediği parçalara böler, örneğin Summer + 2026 + !, her parçanın kaç tahmin aldığını hesaplar ve tüm şifreyi oluşturmanın en ucuz yolunu toplar. Motor, OWASP'ın işaret ettiği açık kaynaklı tahmin aracı zxcvbn-ts; İngilizce kelime listeleri ile varsa sayfanın dilindeki listelerle çalışır.

Hazır tahmin aracının güçlü uçta yanıldığı iki yeri düzelttik: gerçekten rastgele 12 karakterlik bir şifreyi yaklaşık 10²⁴ yerine 10¹² tahmin olarak, altı kelimelik bir şifre cümlesini ise milyarlarca kat fazla değerlendiriyordu. Rastgele bölümler artık kullandıkları karakterlere, şifre cümleleri de onları oluşturan düzene göre puanlanıyor.

Büyük harfler, rakamlar ve semboller gösterilir ama eksik bir tür hiçbir zaman aleyhinize sayılmaz: NIST bu tür kuralları, Password1! gibi tahmin edilebilir şifreler ürettikleri için kaldırdı (NIST SP 800-63B-4). İlk 64 karakter analiz edilir; daha uzunu, bilinen bir cümle değilse tahminin ötesindedir ve ihlal kontrolü yine de hepsini görür.

Summer2026!

  1. SummerSözlük kelimesiBir mevsim, olağan şekilde büyük harfle: 50 tahmin
  2. 2026!RastgeleDesen bulunamayan beş karakter: 100.000 tahmin
0128

ZayıfYaklaşık 10 milyon tahmin: ZayıfSızdırılmışİhlal verisinde 45 kez: Sızdırılmış

Karar karakter türlerini değil desenleri belirler: dört türden 11 karakter, bir hash listesi sızdığında saniyeler içinde tahmin edilir.
Şifre güç testi: zayıflatan desenlere ayrılmış bir şifre, 8 saldırı için kırılma süreleri ve veri ihlali kontrolüŞifre güç testi: zayıflatan desenlere ayrılmış bir şifre, 8 saldırı için kırılma süreleri ve veri ihlali kontrolüDereceSaldırganın gereken tahmin sayısına göre Çok zayıftan Çok güçlüye; şifre ihlal verisindeyse Sızdırılmış.Zayıf noktasıSaldırganların denediği desenlere ayrılmış şifre; her biri tahmin etmenin neden ucuz olduğunun gerekçesiyle.Kırılma süresiSekiz saldırının her birinin bir ekran kartıyla veya yüzle ne kadar süreceği.İhlal kontrolüHave I Been Pwned'in onu görüp görmediği ve gönderilen hash'inin 5 karakteri.
Uydurma bir şifrenin testi: derecesi, onu ele veren desenler, her saldırının alacağı süre ve ihlal kontrolü. Her parçanın neyi gösterdiğini görmek için bir numara seçin.

Şifremin kırılması ne kadar sürer?

Saldırıya bağlıdır: aynı şifre denemeleri sınırlayan bir giriş sayfasına karşı yıllarca dayanabilir, ama bir site kötü saklanmış şifre hash'lerini sızdırdığında bir saniyenin altında çözülebilir. Test, sekiz adlandırılmış saldırı için, bir ekran kartıyla veya yüzle kırılma süresini verir.

Bir şifrenin kırılma süresi, gereken tahminlerin saldırganın hızına bölünmesine dayanır. Çevrimiçi, saldırganlar giriş sayfası üzerinden tahmin eder: tekrarlanan başarısızlıkları kilitleyen sitelerde saatte 100 deneme (NIST art arda en fazla 100'e izin verir), kilitlemeyenlerde saniyede 10. Çevrimdışı, yani bir veritabanı sızıntısından sonra, ekran kartlarında saklanan hash'lere karşı tahmin ederler ve hız, sitenin onları nasıl sakladığına bağlıdır.

Tek bir RTX 5090 saniyede 340,1 milyar NTLM hash'i (Windows), 220,6 milyar MD5 ve 70,2 milyar SHA-1 dener; ama maliyet 10'da yalnızca yaklaşık 9.500 bcrypt hash'i ve 1,48 milyon Linux sha512crypt dener (hashcat kıyaslamaları). 64 MiB belleğe sahip Argon2id, bir RTX 4090'da saniyede 1.699 hızla çalışır (hashcat). OWASP'ın sitelerden şifreleri Argon2id veya bcrypt ile saklamalarını istemesinin nedeni bu farktır.

Her süre bir ortalamadır: rastgele bir şifre için tüm olasılıkların yarısı. Bir şifre güvenliği testi ancak varsaydığı saldırı kadar dürüsttür; bu yüzden her satır birini adlandırır. Gerçek saldırganlar kaba kuvvetten önce listeleri ve kuralları da çalıştırır; desen tahmininin modellediği budur. Kimlik avı ve keylogger tahmin etmeyi tamamen atlar.

Çevrimiçi, deneme sınırlıÇevrimiçi, sınırsızSızıntı sonrası, Argon2id*Sızıntı sonrası, bcryptSızıntı sonrası, Linux sha512cryptSızıntı sonrası, SHA-1Sızıntı sonrası, MD5Sızıntı sonrası, NTLM
6 haneli PIN105,7208 gün14 saat5 dakika52 saniyebir saniyeden kısabir saniyeden kısabir saniyeden kısabir saniyeden kısa
Summer2026!, yalnızca desenlerine göre107,011 yıl12 gün2 saat17 dakika7 saniyebir saniyeden kısabir saniyeden kısabir saniyeden kısa
8 rastgele karakter1015,12 Mr yıl4 Mn yıl26 B yıl5 B yıl30 yıl6 saat2 saat1 saat
4 rastgele kelime1015,32 Mr yıl6 Mn yıl34 B yıl6 B yıl39 yıl7 saat2 saat1 saat
12 rastgele karakter1023,210¹⁷ yıl10¹⁴ yıl10¹² yıl554 Mr yıl4 Mr yıl75 B yıl24 B yıl16 B yıl
6 rastgele kelime1023,010¹⁷ yıl10¹⁴ yıl10¹² yıl368 Mr yıl2 Mr yıl50 B yıl16 B yıl10 B yıl
16 rastgele karakter1031,210²⁵ yıl10²² yıl10²⁰ yıl10¹⁹ yıl10¹⁷ yıl10¹² yıl10¹² yıl10¹² yıl
İhlal verisindeki herhangi bir şifre109,32 B yıl7 yıl14 gün3 gün23 dakikabir saniyeden kısabir saniyeden kısabir saniyeden kısa
Çevrimiçi, deneme sınırlıÇevrimiçi, sınırsızSızıntı sonrası, Argon2id*Sızıntı sonrası, bcryptSızıntı sonrası, Linux sha512cryptSızıntı sonrası, SHA-1Sızıntı sonrası, MD5Sızıntı sonrası, NTLM
6 haneli PIN105,7208 gün14 saat3 saniyebir saniyeden kısabir saniyeden kısabir saniyeden kısabir saniyeden kısabir saniyeden kısa
Summer2026!, yalnızca desenlerine göre107,011 yıl12 gün59 saniye10 saniyebir saniyeden kısabir saniyeden kısabir saniyeden kısabir saniyeden kısa
8 rastgele karakter1015,12 Mr yıl4 Mn yıl262 yıl47 yıl110 gün3 dakika1 dakika41 saniye
4 rastgele kelime1015,32 Mr yıl6 Mn yıl341 yıl61 yıl143 gün4 dakika1 dakika54 saniye
12 rastgele karakter1023,210¹⁷ yıl10¹⁴ yıl31 Mr yıl6 Mr yıl36 Mn yıl752 yıl239 yıl155 yıl
6 rastgele kelime1023,010¹⁷ yıl10¹⁴ yıl21 Mr yıl4 Mr yıl24 Mn yıl499 yıl159 yıl103 yıl
16 rastgele karakter1031,210²⁵ yıl10²² yıl10¹⁸ yıl10¹⁷ yıl10¹⁵ yıl69 Mr yıl22 Mr yıl14 Mr yıl
İhlal verisindeki herhangi bir şifre109,32 B yıl7 yıl3 saat36 dakika14 saniyebir saniyeden kısabir saniyeden kısabir saniyeden kısa
Ortalama süreler. Hızlar: tek RTX 5090 üzerinde hashcat kıyaslamaları; Argon2id için RTX 4090. Gerçek saldırılar kaba kuvvetten önce listeleri ve kuralları dener. * Argon2id: RTX 4090 üzerinde ölçüldü (henüz yayımlanmış bir RTX 5090 kıyaslaması yok).

Şifrem güvenli mi? Her derece ne anlama gelir

Şifreniz, Çok güçlü olarak derecelendirilirse, ya da şifreleri yavaş bir hash ile saklayan bir sitede Güçlü ise ve hiç ihlalde görünmediyse tahmine karşı güvenlidir. Sızdırılmış her şeyin önüne geçer.

Her derece, gerçek saldırıların onu kapsamasının ne kadar sürdüğüne göre belirlenmiş bir tahmin aralığıdır. Çok güçlü 10²¹ veya daha fazla tahmin gerektirir: hiçbir tek ekran kartı, NTLM'ye karşı bile onu bir yüzyıl içinde bulamaz.

Saldırganın gereken tahmin sayısı
Sızdırılmış
  1. 6 haneli PIN
  2. Summer2026!
  3. 8 rastgele karakter
  4. 4 rastgele kelime
  5. 6 rastgele kelime
  6. 12 rastgele karakter
  7. 16 rastgele karakter
Çok zayıfZayıfOrtaGüçlüÇok güçlü
  1. Kilitli giriş
  2. Açık giriş
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: tek ekran kartıyla bir yıl

Sızdırılmış ölçeğin dışında kalır: ihlal edilmiş bir şifre, uzunluğu ne olursa olsun saldırganların listelerindedir.
DereceGereken tahminNeye dayanır
Sızdırılmışİhlal verisindeHiçbir şeye: saldırganlar ihlal edilmiş şifreleri ilk dener. Kullandığınız her yerde değiştirin.
Çok zayıf10⁴'ün altıÇevrimiçi tahmin, saniyede 10 denemeyle bile onu 17 dakika içinde bulur.
Zayıf10⁴ ile 10⁸ arası100 başarısızlıktan sonra kilitleyen bir site, ama sınırı olmayan bir site değil; sızıntıdan sonra en fazla 16 saat.
Orta10⁸ ile 10¹⁴ arasıÇevrimiçi tahmine aylar ila bin yıllar; sızıntıdan sonra bcrypt'e karşı saatler ila 333 yıl, ama MD5 veya NTLM'ye karşı 10 dakikanın altı.
Güçlü10¹⁴ ile 10²¹ arasıSızıntıdan sonra: bcrypt'e karşı 333 ila 3 milyar yıl, ama NTLM'ye karşı tek ekran kartıyla 5 dakika ila 93 yıl.
Çok güçlü10²¹ veya daha fazlaHiçbir tek ekran kartı, kırılması en hızlı hash olan NTLM'ye karşı bile onu bir yüzyıl içinde bulamaz.

Güçlü bir şifreyi ne oluşturur?

Uzunluk ve rastgelelik: hesabı yalnızca şifre koruyorsa en az 15 karakter; bir oluşturucuyla veya rastgele kelimelerden yapılmış, yalnızca bir hesapta kullanılan ve hiç ihlalde bulunmamış. Semboller, büyük harfler ve düzenli değişiklikler artık gerekli değil.

Bu, Temmuz 2025'te güncellenen ABD standardı NIST SP 800-63B-4'ün kural setidir: tek faktörlüyse 15 karakter, ikinci faktörle 8; en az 64 kabul; boşluk ve emoji dahil her karakter; kompozisyon kuralı yok; zorunlu değişiklik yok; her yeni şifre ihlal edilmiş ve yaygın olanlara karşı kontrol edilir.

ABD siber güvenlik kurumu CISA, en az 16 karakter veya birbiriyle ilgisiz dört ila yedi kelimelik bir şifre cümlesi ister; Birleşik Krallık'ın NCSC'si ise üç rastgele kelime önerir. Üçü de uzunluğu ilk sıraya koyar.

Harfleri benzer rakamlarla değiştirmek işe yaramaz: saldırganlar o → 0 ve a → @ değişimlerini bilir ve erkenden dener (NCSC). Şifre oluşturucu her kurala uyan şifreler üretir.

NIST SP 800-63B-4standardın söylediği · testin yaptığı
  • En az 15 karakter, ikinci bir faktörle 8Uzunluk 15'e göre kontrol edilir
  • En az 64 karakteri kabul et256'ya kadar kabul edilir, ilk 64'ü analiz edilir
  • Boşluk ve emoji dahil her karakterKarakter olarak sayılır: bir emoji bir karakterdir
  • "Bir sembol içermeli" gibi kurallar yokEksik bir tür hiçbir zaman sorun olarak işaretlenmez
  • Zorunlu değişiklik yok; ele geçirilmeden sonra değiştirSızdırılmış, ne zaman değiştirme vakti geldiğini söyler
  • Yaygın ve ihlal edilmiş şifreleri engelleHave I Been Pwned'e karşı kontrol edilir
  • Yapıştırmaya ve şifre yöneticilerine izin verYapıştırma çalışır ve ihlal kontrolünü başlatır
NIST SP 800-63B-4, bölüm 3.1.1.2, Temmuz 2025'ten beri ABD'nin şifre standardı.

Şifre entropisi: P@ssw0rd ve Tr0ub4dor&3 neden başarısız olur

Entropi, saldırganın denemesi gereken olası şifreleri sayar ve yalnızca rastgele çekilmiş bir şifre için anlamlıdır. Karakter türlerine göre sayıldığında P@ssw0rd yaklaşık 52, Tr0ub4dor&3 yaklaşık 72 bit alır; ikisi de ihlal verisinde, binlerce ila milyonlarca kez.

Bir şifre entropisi hesaplayıcısı, uzunluğu bulunan her karakter türünün bitiyle çarpar; sanki her karakter rastgele seçilmiş gibi. İnsan bunu asla yapmaz: P@ssw0rd, iki bilinen değişimle "password" kelimesidir ve Have I Been Pwned onu 6.421.042 kez görmüştür. NIST'in kurallarını uzunluğa dayandırmasının nedeni budur: insanların seçtiği şifreler için entropi hesaplanamaz (NIST SP 800-63B-4, Ek A).

xkcd'nin hatırlaması zor şifre örneği olan Tr0ub4dor&3, değiştirilmiş harfler, bir sembol ve bir rakamla bir sözlük kelimesidir: değişimler geri alındığında yaklaşık bir milyon tahmin, tek başına Zayıf ve aslında 3.196 görülmeyle Sızdırılmış.

Rastgele bir şifre için iki sayım örtüşür ve şifre oluşturucu tam bit değerini gösterir. Test ise bunun yerine tahmin bildirir: 10ˣ tahmin, 3,32 × x bittir.

  • Karakter türlerine göre
  • Desenlere göre
  • İhlal verisinde
  1. P@ssw0rd52,6 bit5,0 bit6.421.042 kez
  2. Tr0ub4dor&372,3 bit62,2 bit3.196 kez
  3. 12 rastgele karakter78,8 bit78,8 bitBulunamadı
Karakter türleri her karakterin rastgele seçildiğini varsayar. İki sayım yalnızca rastgele şifrede örtüşür.

Şifrem sızdırıldı mı? Have I Been Pwned ile gizli kontrol

Test, tam şifreyi Have I Been Pwned'in Pwned Passwords listesine, yani veri ihlallerinden gelen yaklaşık 2,07 milyar şifreye karşı, göndermeden kontrol eder: tarayıcınızdan yalnızca SHA-1 hash'inin 40 karakterinden ilk 5'i çıkar ve bunlar Have I Been Pwned'e değil, sunucumuza gider.

Tarayıcınız şifreyi SHA-1 ile hash'ler ve 21BD1 gibi ilk 5 karakteri gönderir. Veritabanındaki yaklaşık 2.000 hash bu 5 karakterle başlar; yanıt hepsini sayılarıyla listeler ve tarayıcınız diğer 35 karakteri bu listede arar. Bu, Have I Been Pwned'in kendi tasarımı olan k-anonimliktir (HIBP): 5 karakteri gören biri, elinizdeki şifrenin 2.000'den hangisi olduğunu anlayamaz.

Sunucumuz Have I Been Pwned'e sizin adınıza sorar; böylece IP adresinizi asla görmez, boyut hiçbir şey belli etmesin diye her yanıtı 100 ila 300 sahte satırla doldurur ve ön eki günlüğe kaydetmez. Kontrol, alanı terk ettiğinizde, Enter'a bastığınızda veya yapıştırdığınızda çalışır, asla her tuş vuruşunda değil: yazılan her harf için bir ön ek şifreyi ele verebilir; Have I Been Pwned'in buna karşı önermesinin nedeni budur (HIBP).

Sayı ihlallerin değil görülme sayısıdır: Tr0ub4dor&3 3.196 kez görüldü. 2,07 milyar bizim kendi ölçümümüzdür, çünkü Have I Been Pwned güncel bir toplam yayımlamaz: 256 rastgele ön ek ortalama olarak 1.971'er hash tuttu (23 Ekim 2026).

Tarayıcınız

••••••••

Şifrenin SHA-1'i

21BD12DC183F740EE76F27B78EB39C8AD972A757

Gönderilen: ilk 5 karakter · Kalan: diğer 35

Tarayıcınızda karşılaştırılır

…2DC183F74…:6.421.042

6.421.042 kez görüldü

dnsrobot.net

21BD1

+ 100 ila 300 sahte satır

Kaydedilmez

21BD1 ile başlayan yaklaşık 2.000 hash

Have I Been Pwned

/range/21BD1

Sunucumuzu görür, sizi asla

k-anonimlik: 5 karakteri gören biri, elinizdeki şifrenin yaklaşık 2.000 şifreden hangisi olduğunu anlayamaz.

Şifreniz bir ihlalde çıktıysa ne yapmalı

Kullanmayı bırakın: önce e-posta hesabınızda, sonra aynı veya benzer şifreyi kullandığınız her sitede değiştirin; her seferinde yeni bir rastgele şifreye ve sunulduğu her yerde iki adımlı girişi açın.

İhlal edilmiş bir şifre saldırganların ilk denediği listelerdedir, bu yüzden gücünün önemi kalmaz: 2,07 milyarlık listenin tamamını taramak bir ekran kartı için NTLM veya MD5 hash'lerine karşı bir saniyenin altında, bcrypt'e karşı yaklaşık 2,5 gün sürer. NIST'in sitelerden ihlal edilmiş şifreleri reddetmelerini ve ele geçirilmiş bir şifreyi değiştirtmelerini şart koşmasının nedeni budur (NIST SP 800-63B-4).

E-posta önce gelir, çünkü diğer tüm hesapları sıfırlayabilir. Şifre oluşturucu her hesaba kendi şifresini verir, bir şifre yöneticisi de hepsini hatırlar. Bir eşleşme hesabınıza girildiği anlamına gelmez: liste şifrenin kendisini, onu kullanan kişi her kimse ondan alınmış hâliyle tutar.

Güçlü ve benzersiz bir şifre bile, siz yazarken onu yakalayan kimlik avını veya keylogger'ı durdurmaz (NIST SP 800-63B-4). Giriş yapmadan önce bir bağlantının gerçekte nereye gittiğini kontrol edin ve şüpheli bir e-postanın gerçek göndericisini e-posta üstbilgisi analizcisi ile kontrol edin.

  1. 1Önce e-postanızda değiştirinE-posta diğer tüm hesapları sıfırlayabilir.
  2. 2Sonra yeniden kullandığınız her yerdeHer hesap kendi oluşturulmuş şifresini alır.
  3. 3İki adımlı girişi açınÇalınan şifre tek başına artık içeri sokmaz.
  4. 4Hepsini bir şifre yöneticisinde tutunHer birini hatırlar ve doldurur.

Şifre gücü: sorular ve cevaplar

Gerçek şifremi buraya yazmak güvenli mi?

Şifre tarayıcınızda kalır. Tahmin cihazınızda çalışır ve ihlal kontrolü, alanı terk ettiğinizde, Enter'a bastığınızda veya yapıştırdığınızda yalnızca SHA-1 hash'inin 40 karakterinden ilk 5'ini gönderir. Hiçbir şey saklanmaz veya günlüğe kaydedilmez ve alanda yazım denetimi kapalıdır. Yine de istemezseniz, aynı şekilde oluşturulmuş bir şifreyi test edin.

Bu, Have I Been Pwned'in şifre kontrolüyle aynı mı?

Aynı veriyi, yani Have I Been Pwned'in Pwned Passwords listesini ve aynı k-anonimlik aralık aramasını kullanır. Üç şey farklıdır: istek sunucumuzdan geçer, bu yüzden Have I Been Pwned IP adresinizi hiç görmez; yazmayı bitirdiğinizde çalışır, asla tuş vuruşu başına değil; ve bir eşleşme, bir güç puanının yanında durmak yerine dereceyi Sızdırılmış yapar.

"3.196 kez görüldü" ne demek?

O şifrenin Have I Been Pwned'in ihlal verisinde tam olarak kaç kez geçtiğidir: Tr0ub4dor&3 için 3.196 görülme. İhlal ya da hesap sayısı değildir ve hesabınızın hacklendiği anlamına gelmez: liste şifreyi tutar, onu kimin kullandığını değil. Sıfırın üzerindeki her sayı bir şifreyi saldırganların ilk denediği listelere koyar.

Şifre denetleyici kırılma süresini nasıl hesaplar?

Saldırganın ortalama gereken tahminlerini her saldırının hızına böler. Tahminler desen tahmininden gelir; hızlar tek RTX 5090 için (Argon2id için RTX 4090) yayımlanmış hashcat kıyaslamalarıdır ve 100 ekran kartı süreyi 100'e böler. Gerçek saldırganlar kaba kuvvetten önce listeleri ve kuralları dener; desen tahmini bunu modeller.

Başka bir şifre gücü denetleyicisi neden farklı bir cevap veriyor?

Çoğu karakter türlerini sayar ve hangi saldırıyı varsaydığını söylemez. 23 Ekim 2026'da dokuz popüler denetleyiciyi denediğimizde, altısı Tr0ub4dor&3'ü, ihlal verisinde 3.196 kez bulunmasına rağmen, 4 aydan 2.000 yıla kadar kırılma süreleriyle güvenli olarak sundu. Bu test her saldırıyı adlandırır, saldırganların ilk denediği desenleri puanlar ve bir ihlalin dereceyi geçersiz kılmasına izin verir.

Bu bir şifre entropisi hesaplayıcısı mı?

Fiilen evet: bir şifrenin kaç tahmin gerektirdiğini tahmin eder ve 10ˣ tahmin yaklaşık 3,32 × x bittir. Karakter türlerini sayan bir şifre entropisi hesaplayıcısının aksine önce desenlere bakar: türlere göre P@ssw0rd yaklaşık 52 bit alır, ama ihlal verisinde 6,4 milyon kez bulunur. Rastgele bir şifre için ikisi örtüşür ve oluşturucu tam bit değerini gösterir.

Uzun şifrem neden zayıf derecelendirildi?

Uzunluk yalnızca karakterler tahmin edilemezse yardımcı olur. Tekrarlanan harfler, qwertyuiop gibi klavye dizileri, ünlü bir cümle veya bir şarkı sözü saldırganların ilk denediği şeyler arasındadır: aaaaaaaaaaaaaaaa 16 karakterdir ve Çok zayıf derecelendirilir. Uzun bir şifre ihlal verisinde de olabilir, bu da onu Sızdırılmış yapar: correcthorsebatterystaple 4.173 kez geçer.

Sembollere, rakamlara ve büyük harflere ihtiyacım var mı?

Güç için hayır. NIST'in güncel kuralları, Password1! gibi tahmin edilebilir seçimlere yol açtıkları için sitelere bunları istemeyi bırakmalarını söyler ve test eksik bir türü hiçbir zaman sorun olarak işaretlemez. Uzunluk ve rastgelelik çok daha önemlidir: 20 rastgele küçük harf (94 bit), her türden 12 rastgele karakteri (78 bit) geride bırakır. Bazı siteler hâlâ ısrar eder, bu yüzden oluşturucu bunları ekleyebilir.

8 karakterlik bir şifrenin kırılması ne kadar sürer?

94 klavye karakterinin tümünden rastgele olanı: site onu NTLM hash'i olarak sakladıysa tek RTX 5090'da yaklaşık 2 saat, MD5 olarak 4 saat, maliyet 10'da bcrypt ile yaklaşık 10.000 yıl. Bir insanın seçtiği 8 karakterlik şifre, örneğin bir kelime ve bir yıl, bu hızlı hash'lere karşı bir saniyenin altında, bcrypt'e karşı saatler içinde çözülür.

Güçlü bir şifre yine de hacklenebilir mi?

Evet, çünkü güç yalnızca tahmini ölçer. Kimlik avı sayfaları, keylogger'lar ve kötü amaçlı yazılımlar, ne kadar uzun olursa olsun, siz yazarken şifreyi yakalar ve ihlal edilmiş bir sitede yeniden kullanılan şifre diğer hesaplarınızda denenir. Her site için farklı bir şifre kullanın, iki adımlı girişi açın ve giriş yapmadan önce bir bağlantının gerçekte nereye gittiğini kontrol edin.

Güçlü görünen bir şifre neden Sızdırılmış diyor?

Çünkü ihlal verisinde ve saldırganlar o şifreleri her şeyden önce dener. Yaklaşık 2,07 milyarlık listenin tamamını taramak bir ekran kartı için MD5 veya NTLM hash'lerine karşı bir saniyenin altında, bcrypt'e karşı birkaç gün sürer; yani karmaşıklık artık onu korumaz. NIST de aynı nedenle sitelerin ihlal edilmiş şifreleri reddetmesini şart koşar. Sızdırılmış diğer her dereceyi geçersiz kılar.

İhlal kontrolü neden ben yazarken çalışmıyor?

Çünkü her tuş vuruşunda yapılan bir kontrol her harf için yeni bir ön ek gönderir ve bu ön ek dizisi trafiği izleyen herkese şifreyi ele verebilir. Have I Been Pwned tüm şifre girilene kadar beklemeyi önerir; bu yüzden test, alanı terk ettiğinizde, Enter'a bastığınızda veya yapıştırdığınızda kontrol eder. Güç derecesi ise siz yazdıkça güncellenir.

Eksik bir şey mi var?Bir özellik ya da yeni bir araç önerin

İlgili araçlar