Testi ei laske isoja kirjaimia ja erikoismerkkejä. Se laskee, montako arvausta salasana kestäisi: se etsii sanakirjaosumat, näppäimistökuviot, vuosiluvut, toistot ja tutut kirjainkorvaukset ja katsoo, kuinka nopeasti murtokone pääsee niiden läpi.
Salasanaa ei lähetetä minnekään. Sivu ei ota verkkoyhteyttä salasanan takia lainkaan: arvio lasketaan selaimessasi, ja kenttään kirjoitettu teksti pysyy koneellasi. Voit halutessasi katkaista verkkoyhteyden ennen kirjoittamista – sivu toimii silti. Tarkemmin alla.
Kokeile esimerkillä:
Miksi ”iso kirjain, numero ja erikoismerkki” ei kerro vahvuutta
Tuttu sääntö on peräisin ajalta, jolloin salasanoja arvattiin kirjautumislomakkeen kautta. Nykyään ne murretaan varastetusta tunnustietokannasta hyökkääjän omalla koneella, ja kokeilujärjestys ei ole aaaa, aaab, aaac vaan: ensin kaikki aiemmin vuotaneet salasanat, sitten sanakirjat, sitten sanakirjat tuttuine muunnoksineen. Kissa2019! täyttää kaikki merkkiluokkasäännöt ja on silti muutaman miljoonan arvauksen päässä: se on yksi sana, vuosiluku ja huutomerkki – kolme ennalta-arvattavaa palasta.
Tämä testi laskee juuri sen: kuinka monta arvausta tarvitaan, kun kokeilu tehdään fiksusti eikä sokkona. Siksi tulos voi olla ankarampi kuin monen palvelun oma vahvuusmittari, joka laskee vain merkkejä ja merkkiluokkia.
Mitä bittiluku tarkoittaa
Bitti on kaksinkertaistuminen: yksi bitti lisää tuplaa arvausten määrän. 40 bittiä on noin tuhat miljardia vaihtoehtoa – paljon ihmisen mielessä, ei mitään koneelle, joka kokeilee miljardeja arvauksia sekunnissa. Karkea asteikko:
| Arvausvastus | Mihin riittää |
|---|---|
| alle 36 bittiä | ei mihinkään |
| 36–60 bittiä | kestää hetken, ei tärkeään |
| 60–80 bittiä | kohtalainen, riittää vähäpätöiseen |
| 80–100 bittiä | vahva, riittää käytännössä kaikkeen |
| yli 128 bittiä | vastaa vahvaa salausavainta |
Vertailun vuoksi: tämän sivuston arpoma kahdeksan suomenkielisen sanan salasana on noin 124 bittiä ja neljän sanan noin 62 bittiä. Luvut ja niiden perustelut ovat etusivun taulukossa. Arvottu salasana on aina vahvempi kuin yhtä pitkä itse keksitty, koska arvottu ei sisällä mitään, minkä kone voisi päätellä.
Mitään ei lähetetä
- Salasana ei poistu selaimestasi. Arviointikirjasto ja sanalistat ladataan tältä samalta sivustolta, ja laskenta tapahtuu koneellasi. Kenttään kirjoitettua tekstiä ei lähetetä meille, kolmannelle osapuolelle eikä kävijämittaukseen missään muodossa.
- Voit tarkistaa väitteen itse. Lataa sivu, katkaise verkkoyhteys ja kirjoita salasana: arvio toimii yhä. Sivun lähdekoodi on avointa, ja selaimen kehittäjätyökalujen verkkovälilehti näyttää, ettei pyyntöjä lähde.
- Tunnistetut palaset näkyvät vain, kun salasana on näkyvissä. Jos kenttä on peitettynä, tulos kertoo palasten pituudet muttei niiden sisältöä – muuten peittäminen olisi näennäistä.
- Arvio ei kerro, onko salasana vuotanut. Nekin ovat eri asioita: pitkä ja monimutkainen salasana voi olla vuotanut, jolloin se on murtokoneiden listoilla riippumatta vahvuudestaan. Sen tarkistat vuototarkistuksesta, joka lähettää salasanasta vain tiivisteen viisi ensimmäistä merkkiä.
Mistä arvio tulee
Arvio lasketaan zxcvbn-ts-kirjastolla (MIT), joka on ylläpidetty versio Dropboxilla kehitetystä zxcvbn-kirjastosta. Se on alan vakiintunein tapa arvioida salasanan arvattavuutta, ja se on mukana sivuston omissa tiedostoissa – ei ulkopuolisesta jakeluverkosta.
Sanakirjoina ovat kirjaston oma aineisto (noin 50 000 yleisintä vuotanutta salasanaa sekä näppäimistökuviot) ja tämän sivuston omat sanalistat, suomeksi ja englanniksi. Suomen yleissanasto on siis mukana: vesikattoremontti ei ole vahva salasana siksi, että se on pitkä.
Arvio on arvio. Se ei tiedä, onko salasanasi kissasi nimi tai vanha suosikkibändisi – hyökkääjä, joka tuntee sinut, arvaa sellaisen nopeammin kuin mikään kirjasto olettaa. Se ei myöskään tunne suomalaisia nimiä eikä paikannimiä yhtä kattavasti kuin englanninkielisiä. Epävarmassa tapauksessa arvo uusi salasana – silloin arvattavuus ei ole arvion varassa.