パスワード強度チェッカー｜弱い理由を名前で言う

たいていの強度メーターは、点数を一つと、途方もない破られ時間を一つ出します。あの時間は「使った文字の全組み合わせを順不同で総当たりする」という前提から出てくるのですが、実際にパスワードを当てる人はそんなことをしません。本物の攻撃は、すでに誰かが使ったパスワードから始めて、辞書の単語に進み、その単語の頭を大文字にして末尾に数字や西暦を足す、という順に進みます。

このページは逆から組み立てます。まず安い部分を探します — よくあるパスワード、記号で化粧した辞書の単語、キーボードの並び、繰り返し、四桁の西暦。そしてそれぞれを実際の値段で見積もり、残った文字だけを無作為として数えます。

そのうえで時計を二つ出します。パスワードの強さは一つではないからです。連続入力を遅らせるログイン画面が相手ならたいていのものは持ちこたえますが、盗まれたハッシュをグラフィックボードで回されると同じものが数秒で落ちます。二つの数字の隔たりが、ふつうは話の全部です。

入力したものは保存も送信も照合もしません。最後の一つは手抜きではなく決めごとです — 流出リストとの照合は、パスワードそのものかその一部を他人のサーバーに渡すことだからです。

1. 実際に使っているものと同じ形の文字列を入れてください。同じ長さ、同じ文字の混ぜ方であれば十分です。測っているのは形なので、身代わりでも答えは変わりません。
2. かんぬきの伸びを見てください。文字種のチェックリストではなく推定値で動きます。よくある単語に記号を一つ足してもほとんど伸びないのはそのためです。
3. 時計は二つとも読んでください。遅いほうがログイン画面、速いほうが流出ファイルです。食い違ったときに備えるべきは速いほうです。
4. 下の指摘を読んでください。安く当てられる部分を名指ししています。そこが直すべき場所です。十二文字あっても一秒で見つかるパスワードはあります。
5. 例のボタンを押して、化粧した単語と無関係な単語の連なりを比べてください。後者のほうが覚えやすく、そして桁違いに遅く見つかります。