YUCTS Tools
繁體中文（台灣）語言

密碼強度檢查（被猜中的難易度與破解時間）

依密碼長度、字元種類、常見密碼、鍵盤排列、連續字元與日期等模式，在瀏覽器內估算密碼被猜中的難易度與破解時間範圍，不會傳送或儲存密碼。

  • 在瀏覽器內處理（不上傳）

檢查只在這個瀏覽器中進行，輸入的密碼不會被傳送、儲存或記錄。

這不是外洩檢查：不會查詢 Have I Been Pwned 等外洩資料庫，只在你的裝置上估算密碼被猜中的難易度。

欄位預設填入範例「P@ssw0rd2024」，請改成你想檢查的密碼。

模式範例

估算結果

強度: 非常弱（0/4）

估計猜測次數
15,000
熵值換算
約 14 位元
長度
12 個字元
使用的字元種類
英文小寫、英文大寫、數字、符號或空格

破解所需時間（估計）

試完估計猜測次數所需的時間。範圍來自假設的攻擊速度差異，實際上可能更早或更晚被猜中。

  • 線上攻擊（有次數限制）登入嘗試被限制為每小時 10～100 次6 天～2 個月
  • 線上攻擊（無限制）每秒可嘗試 10～100 次3 分鐘～25 分鐘
  • 離線攻擊（慢速雜湊）對外洩的 bcrypt、scrypt、Argon2 雜湊每秒嘗試 1,000～100,000 次瞬間（不到 1 秒）～15 秒
  • 離線攻擊（快速雜湊）用 GPU 對未加鹽的 MD5、SHA-1 等雜湊每秒嘗試 100 億～1 兆次瞬間（不到 1 秒）

注意事項

  • 包含常見的密碼。
  • 年份很容易被猜到。

改善建議

  • 使用 15 個字元以上，或用幾個不相關的單字組成密語（passphrase）。
  • 避免使用常見密碼或其中的一部分。
  • 用 @ 代替 a 這類容易預測的替換，幾乎不會讓密碼變強。
  • 只把開頭或全部字母改成大寫，幾乎不會讓密碼變強。
  • 避免使用生日、紀念日等與自己相關的日期或年份。
  • 每個服務都使用不同的密碼；用密碼管理工具產生並保存最可靠。

找到的模式

只有開啟「顯示密碼」時才會顯示對應的字元。

  1. 常見密碼第 1～8 個字元 · ••••••••10,001 筆中的第 1 名、含符號或數字替換、含大寫約 3 位元
  2. 年份第 9～12 個字元 · ••••約 4 位元
常見密碼清單的來源與授權（SecLists，MIT License）

SecLists, Passwords/Common-Credentials/10k-most-common.txt https://github.com/danielmiessler/SecLists (commit 913b327317496d062bcc7cace524aaad8a693be2) MIT License Copyright (c) 2018 Daniel Miessler Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

使用方式

  1. 輸入要檢查的密碼（欄位預設有範例；勾選「顯示密碼」可看到字元）。
  2. 查看強度評等、估計猜測次數，以及各種攻擊方式的破解時間範圍。
  3. 參考注意事項與改善建議，把密碼改得更長、更難猜。

常見問題

輸入的密碼會被傳送到哪裡嗎？

不會。所有評估都在瀏覽器內進行，密碼不會被傳送、儲存或記錄，也不會出現在網址中。「複製結果」複製的內容也不含密碼。

可以知道密碼是否已經外洩嗎？

不行，這不是外洩檢查。不會查詢 Have I Been Pwned 或其他外洩資料庫，只會比對公開的常見密碼清單（SecLists，約 1 萬筆）。

猜測次數與破解時間是怎麼算的？

工具會尋找常見密碼（含大寫、符號替換與反轉）、重複、連續字元、鍵盤排列、日期與年份，並找出能以最少猜測次數涵蓋整個密碼的組合（採用 zxcvbn 論文的方法，自行實作）。沒有模式的部分依字元種類以暴力破解計算。再把次數除以假設的速度：從每小時 10～100 次（有次數限制的線上攻擊）到每秒 100 億～1 兆次（對快速雜湊的離線攻擊）。

強度評等怎麼決定？

依估計猜測次數：10^6 次以上為「弱」（有次數限制的線上攻擊需 1 年以上）、10^12 次以上為「普通」（對慢速雜湊的離線攻擊也需數個月以上）、10^17 次以上為「強」（即使是快速雜湊也需 1 天以上）、10^20 次以上為「非常強」（快速雜湊也需 3 年以上）。

怎樣才能設定強密碼？

使用 15 個字元以上，或由 4～5 個不相關單字組成的密語。每個服務使用不同密碼，交給密碼管理工具產生與保存，並盡量開啟兩步驟驗證。

注意事項與限制

  • 你輸入的內容只在此頁面處理，不會傳送到 YUCTS 的伺服器。
  • 結果只是估計。實際攻擊者使用的字典與手法不同，所需次數與時間可能相差很大。
  • 字典只有約 1 萬筆常見密碼（SecLists）。不在清單中的一般英文單字、人名或拼音不會被辨識，因此用單字組成的密碼可能顯示得比實際更強。
  • 無法考慮你的姓名、生日、寵物名字等個人資訊。
  • 鍵盤排列只考慮英文（美式）QWERTY 配置。
  • 這不是外洩檢查，不會查詢任何外洩資料庫。
  • 密碼不會離開瀏覽器，也不會被儲存或記錄。最多評估 256 個字元。

資料來源