Kalkulator czasu łamania hasła

Liczba możliwości rośnie wykładniczo z długością

Dla L znaków i alfabetu A istnieje A^L kombinacji. Dodanie jednego znaku mnoży przestrzeń przez A, dlatego długość jest bardzo skuteczna dla rzeczywiście losowych haseł.

Czternaście znaków wybranych losowo z 94 symboli nie zachowuje się jak czternastoznakowe słowo z popularnym rokiem. Ludzkie wzorce są testowane wcześniej niż pełna przestrzeń.

1. określ, czy hasło jest rzeczywiście losowe
2. wybierz scenariusz online lub atak na hash
3. porównaj czas z MFA, wyciekiem i ryzykiem phishingu

Znana część hasła zmniejsza liczbę nieznanych pozycji

Jeżeli atakujący zna format firmy, stały prefiks albo wyciekło podobne hasło, efektywna przestrzeń może być znacznie mniejsza. Pole „znane znaki” pokazuje jedynie prostą redukcję.

Ataki regułowe wykorzystują słowniki, zamiany liter, klawiaturę i dane osobowe. Nie da się ich uczciwie zamknąć w jednej liczbie znaków alfabetu.

Usługa online może ograniczać i wykrywać zgadywanie

Opóźnienia, blokady, CAPTCHA, limity adresów i uwierzytelnianie wieloskładnikowe redukują liczbę prób. Miliard prób na sekundę nie opisuje logowania przez stronę.

Jednocześnie brak limitów lub błędna procedura odzyskiwania może osłabić długie hasło. Ochrona konta jest systemem, nie samym ciągiem znaków.

Po wycieku skrótu możliwy jest atak offline

Tempo zależy wtedy od funkcji skrótu, kosztu parametrów, sprzętu i liczby celów. Szybki hash przeznaczony do integralności plików jest zły do przechowywania haseł.

Sól nie spowalnia jednej próby, ale uniemożliwia wygodne użycie jednej gotowej tabeli dla wszystkich użytkowników. Argon2id, scrypt, bcrypt lub PBKDF2 powinny mieć aktualne, kosztowne parametry.

Menedżer haseł tworzy długie i unikalne ciągi

Unikalność chroni przed credential stuffing po wycieku innego serwisu. Długi losowy ciąg może być łatwiejszy w użyciu, gdy użytkownik nie musi go ręcznie wpisywać.

Główne hasło menedżera powinno być długie i zapamiętane, a dostęp chroniony MFA. Kopia awaryjna i kody odzyskiwania wymagają bezpiecznego przechowania.

Czas astronomiczny z kalkulatora nie jest gwarancją bezpieczeństwa

Phishing, malware, przejęta sesja, słabe pytanie odzyskiwania lub zapisane hasło omijają brute force. Aktualizacje, szyfrowanie urządzenia i ostrożność pozostają potrzebne.

Jeżeli hasło znalazło się w wycieku, zmień je niezależnie od teoretycznej długości. Nie próbuj naprawiać kompromitacji przez dodanie jednego znaku na końcu.

Przestrzeń znaków ma znaczenie tylko dla naprawdę losowego hasła

Jeżeli każde z L miejsc jest losowane niezależnie z alfabetu N znaków, liczba kombinacji wynosi N^L. Średnio atak pełnego przeszukiwania znajdzie hasło po połowie przestrzeni, a najgorszy przypadek wymaga całości. Ludzki wybór nie spełnia tego modelu: słowa, daty, wzory klawiatury i popularne zamiany liter są sprawdzane znacznie wcześniej niż wynika z prostego N^L.

Dodanie wykrzyknika i roku do popularnego słowa nie tworzy losowego hasła. Atakujący używa list wycieków, reguł modyfikacji i modeli językowych. Długa losowa fraza z generatora menedżera ma inną entropię niż równie długi cytat, który można znaleźć w internecie.

Atak offline jest groźniejszy niż zgadywanie w formularzu

Serwis internetowy może ograniczać próby, blokować konto i wymagać drugiego składnika. Po wycieku skrótu atakujący pracuje lokalnie bez tych barier. Tempo zależy od funkcji haszującej, kosztu ustawień, sprzętu i liczby celów. Szybki stary hash pozwala na ogromną liczbę prób, a Argon2, scrypt lub odpowiednio skonfigurowany bcrypt mają celowo spowalniać i zużywać pamięć.

Sól nie wzmacnia pojedynczego hasła tak jak dodatkowa długość, ale uniemożliwia wygodne użycie jednej gotowej tablicy dla wszystkich kont i rozdziela obliczenia między użytkowników. Tajny pepper przechowywany poza bazą może dodać warstwę ochrony. Kalkulator z jedną liczbą prób na sekundę jest scenariuszem, nie prognozą konkretnego wycieku.

Najlepszą ochroną są unikalność, menedżer i MFA

Hasło użyte w wielu serwisach może zostać przejęte przez credential stuffing bez łamania hashy. Generuj unikalne długie hasło dla każdej strony i przechowuj je w wiarygodnym menedżerze. Główna fraza do sejfu powinna być długa, zapamiętywalna i nigdzie indziej nieużywana.

Włącz uwierzytelnianie wieloskładnikowe, najlepiej odporne na phishing, gdy jest dostępne. Klucz sprzętowy lub passkey chroni lepiej niż sam SMS, choć procedura odzyskiwania również musi być zabezpieczona. Jeśli hasło pojawiło się w wycieku, zmień je natychmiast we wszystkich miejscach, gdzie było powtórzone; astronomiczny wynik kalkulatora nie unieważnia realnego wycieku.

Entropia modelu, szybkość zgadywania i realne zagrożenia

Przestrzeń znaków podniesiona do długości opisuje tylko losowe hasło wybierane równomiernie. „Kasia2026!” nie ma odporności losowego ciągu jedenastu znaków, ponieważ zawiera imię, rok i popularny wzór. Atak słownikowy sprawdzi takie konstrukcje znacznie wcześniej niż pełne przeszukiwanie wszystkich kombinacji.

Szybkość prób zależy od tego, czy atak odbywa się online czy po wycieku hasha. Serwis online może ograniczać logowania, wymagać drugiego składnika i blokować adresy. Lokalnie napastnik może wykonywać wiele prób na sekundę, ale koszt zależy od funkcji haszującej, jej parametrów, soli oraz sprzętu. Nie używaj jednej prędkości dla wszystkich systemów.

Sól nie zwiększa siły pojedynczego hasła, lecz uniemożliwia wygodne użycie jednej gotowej tablicy dla wielu kont. Wolna funkcja z pamięcią, taka jak odpowiednio skonfigurowany Argon2id, podnosi koszt każdej próby. Parametry powinny być dostosowane do infrastruktury i aktualnych zaleceń; sama nazwa algorytmu bez kosztu nie wystarcza.

Średni czas znalezienia w pełnym brute force to około połowy czasu przeszukania całej przestrzeni, ale konkretne hasło może paść w pierwszej próbie lub na końcu. Wynik „miliony lat” nie jest terminem gwarancji. Jeżeli hasło wystąpiło w wycieku lub zostało wyłudzone, atak nie potrzebuje przeszukiwania.

Najpraktyczniejszą metodą tworzenia hasła jest generator menedżera haseł. Długi losowy ciąg może być przechowywany bez zapamiętywania. Dla hasła głównego użyj unikalnej, długiej frazy z losowo dobranych słów, a nie cytatu. Każde konto powinno mieć inne hasło, aby jedno naruszenie nie otwierało pozostałych.

MFA ogranicza skutki poznania hasła, lecz metody różnią się odpornością na phishing. Klucz sprzętowy lub passkey wiązany z domeną jest zwykle trudniejszy do wyłudzenia niż kod przepisany z SMS. Kody odzyskiwania przechowuj poza urządzeniem i sprawdź procedurę odzyskania, zanim utracisz dostęp.

Administrator powinien testować odporność wyłącznie w uprawnionym środowisku. Szacunek czasu nie jest zgodą na próbę logowania do cudzego konta ani łamanie wykradzionych danych. Do audytu używaj kontrolowanego zestawu, limitów i zasad zgłaszania, a znalezione słabe hasła resetuj bez publikowania ich w raporcie.

Jeśli kalkulator przyjmuje liczbę możliwych znaków, pokaż również założenie o losowości i typie ataku. Użytkownik powinien móc zmienić szybkość prób o kilka rzędów wielkości. Porównanie scenariuszy jest uczciwsze niż jedna efektowna data, która udaje pewność mimo nieznanej funkcji haszującej.