Karamihan sa strength meter ay sumusukat sa maling bagay. Nagbibigay sila ng puntos sa uri ng karakter — may malaking letra? may numero? may simbolo? — na sumasagot kung pasado ba ang password sa patakaran ng kompanya, hindi kung kayang hulaan ito.
Ang P@ssw0rd1 ay may lahat ng apat na uri. Nasa bawat cracking dictionary ito, at ang mga pamalit na titik ay ang unang inaalis ng anumang cracking tool. Bumabagsak ito sa wala pang isang segundo.
Kaya hinahanap dito ang pinakamurang paraan na maaaring nagawa ang string na ito, hindi ang pinakamagandang tingnan. Bawat pattern na nakita ay nagpapababa sa tantiya, dahil iyon ang daang tatahakin ng umaatake.
At may isang bagay na dapat sabihin nang malinaw: ang "walang nakitang pattern" ay hindi "walang pattern". Maliit at pahalimbawa lang ang listahan dito; daan-daang milyon ang hawak ng tunay na umaatake. Tantiya ito ng pinakamagandang kalagayan, hindi garantiya.
Walang ipinapadala kahit saan sa anumang tinitipa mo. Kinukuwenta ang tantiya sa browser mo ng sariling calculation engine ng site na ito — walang request na may dala nito, walang isinusulat sa storage, at walang itinatala. Gayunpaman, masamang ugali ang pagtipa ng tunay na password sa kahit anong website, at ang site na gusto ang password mo ay sasabihin mismo ang sinasabi ng pahinang ito. Kung ayaw mo, palitan ang isa o dalawang karakter: malapit pa rin ang tantiya para maging kapaki-pakinabang.
Dahil hindi ang uri ng karakter ang nagpapahirap hulaan ang password. Ang “P@ssw0rd1” ay nasa bawat diksiyonaryo ng pag-crack na naipon kailanman, at ang mga pagpapalit ay ang unang inaalis ng kasangkapan sa pag-crack — bumabagsak ito sa wala pang isang segundo. Ang meter na nagdaragdag ng puntos para sa malaking titik at simbolo ay sinusukat kung pasado ang password sa panuntunan ng kumpanya sa pagiging kumplikado, at ibang tanong iyon sa kung may makakahula nito.
Dahil pinapadami ng haba ang trabaho sa paraang hindi kayang gawin ng pagkakaiba-iba. Ang bawat dagdag na karakter ay pinapadami ang saklaw ng paghahanap ayon sa laki ng alpabeto, samantalang ang pagpapalit ng isang letra ng simbolo ay bahagyang nagpapalawak lang ng alpabeto. Ang natatandaang parirala ng apat o limang walang kaugnayang salita ay mas malakas at mas madaling itipa kaysa sa maikling hanay ng bantas.
Ito ang logarithm sa base dalawa ng dami ng hulang kailangang daanan ng umaatake. Bawat dagdag na bit ay dinodoble iyon. Ang wala pang 30 bits ay madaling mabali, ang nasa 60 ay makatwiran para sa may rate limit sa harap, at ang 75 pataas ang gusto mo para sa anumang nag-iisang nagbabantay ng tunay na halaga.
Mula sa bilang ng bit, ipinapalagay ang isang trilyong hula kada segundo — isang offline na pag-atake sa mabilis na makina laban sa password na nakatago sa mahinang hash. Nakalimbag ang antas sa tabi ng tantiya dahil ang oras ng pag-crack na walang nakasaad na antas ay hindi pag-aangkin ng kahit ano. Ang mahusay na ipinagtatanggol na login na may rate limiting ay ilang ulit na mas mabagal atakihin, at ang masamang pagkakatago ng password ay puwedeng mas mabilis.
Hindi, at ito ang pinakamahalagang bagay sa pahina. Sinusuri nito ang maliit at pahalimbawang listahan ng karaniwang password at ilang nakikilalang hugis. Ang tunay na umaatake ay gumagamit ng daan-daang milyong password na natagas sa mga paglabag, kasama ang listahan ng pangalan, petsa at diksiyonaryo sa maraming wika. Ang pattern na hindi nakikilala ng pahinang ito ay malamang na nasa kanila — kaya ituring ang numero bilang pinakamaganda ang pangyayari, hindi bilang garantiya.
Sabi ng kasalukuyang gabay ay hindi, hindi ayon sa iskedyul. Ang sapilitang pag-ikot ay nagtutulak sa mga tao sa maliliit at nahuhulaang pagbabago — ang parehong password na may buwan sa dulo — at iyon mismo ang hugis na minamarkahan ng pahinang ito. Palitan ito kapag may dahilan kang isiping nabuko na ito, gumamit ng magkaiba sa bawat site, at hayaang ang password manager ang tumandaan sa kanila.
Bawat dagdag na bit ay dumodoble sa bilang ng hula. Hindi ito sukatang unti-unti — malaki ang pagitan ng 40 at 50 bits.
Ang isa ay may lahat ng uri ng karakter. Ang isa ay maliliit na titik lamang. Ang haba ang nagpapadami; ang iba't ibang uri ay bahagya lang nagpapalapad.
Nothing you type is transmitted or stored. The estimate is an upper bound on strength, not a floor: it reports the patterns it recognises, and a pattern it misses may still be one an attacker has. Never read 'no weaknesses found' as 'no weaknesses'. Walang ipinapadala sa mga server namin ang tina-type mo rito — sa browser mo tumatakbo nang buo ang pagkuwenta.
