Wachtwoordsterkte testen

De controle draait volledig in je browser: het wachtwoord wordt nooit over het netwerk verstuurd, opgeslagen of gelogd, en in de ontwikkelaarstools van je browser kun je nagaan dat er geen verzoek wordt gedaan. Test eventueel liever een wachtwoord dat op dezelfde manier is opgebouwd als het jouwe.

Met zxcvbn, een open methode die bij Dropbox is ontwikkeld. In plaats van soorten tekens te tellen, schat het hoeveel gokken een aanvaller nodig zou hebben. Daarbij worden eerst veelgebruikte wachtwoorden, woordenboekwoorden, namen, datums, toetsenbordpatronen en vervangingen door lookalike-tekens geprobeerd.

Omdat aanvallers deze trucs kennen. Precies dit wachtwoord staat in lijsten met veelgebruikte wachtwoorden, en het recept, een woord met voorspelbare vervangingen (@ voor a, 0 voor o), gevolgd door een cijferreeks en een symbool, is een van de eerste dingen die ze proberen. Het voldoet aan elke eis van een ouderwets wachtwoordbeleid en is toch zwak.

Online aanvallen gaan via een inlogpagina, die herhaalde pogingen kan vertragen of blokkeren. Offline aanvallen gebeuren na een datalek: de aanvaller test gokken op eigen hardware, langzaam als wachtwoorden met een sterke hashmethode zijn opgeslagen, extreem snel als dat niet zo is.

Nee. Een lekdatabase raadplegen zou betekenen dat er contact wordt gelegd met een externe dienst, en deze tool verstuurt nooit iets. Hij herkent wel de meest gebruikte wachtwoorden, die in bijna elk lek voorkomen.

Lengte en willekeur. Een willekeurig wachtwoord van 16 tekens, of een wachtzin van vijf of zes willekeurige woorden, is veel sterker dan een kort woord met wat symbolen erbij. Gebruik voor elk account een ander.