Ferramenta · senhas
Crie uma senha forte e verifique se ela já apareceu em vazamentos
Gere uma senha ou uma frase-senha, veja quanto ela resiste a um ataque e confira se já apareceu em vazamentos conhecidos. A senha não sai do seu navegador: a consulta envia só os cinco primeiros caracteres do hash.
Tipo
Frase-senha: palavras em português sem acento, mais fácil de digitar e de lembrar, com a mesma resistência.
Senha aleatória
Frase-senha
Cada clique gera no seu navegador, com o gerador criptográfico do sistema. Nada é enviado nem guardado.
Senha gerada
Tempo médio para testar as combinações nas três velocidades de referência. Senha reutilizada em outro serviço vale zero, por mais forte que seja.
Medir uma senha sua
Fica no navegadorJá apareceu em vazamentos?
A senha vira um hash SHA-1 no seu navegador e só os cinco primeiros caracteres são enviados ao Have I Been Pwned. A resposta traz centenas de sufixos possíveis, e a comparação acontece aqui. O serviço nunca recebe a senha nem o hash inteiro.
Entropia = comprimento × log₂ do tamanho do conjunto de caracteres. Vinte caracteres com os quatro conjuntos (77 símbolos) dão 125 bits; cinco palavras de uma lista de 2198 dão 56 bits.
Descontos quando a senha foi escolhida por uma pessoa: palavra de dicionário ou nome, data ou ano, sequência (1234, abcd, qwerty), repetição e trocas óbvias (a → @, s → $). Por isso a senha gerada e a senha medida usam contas diferentes.
Tempo para quebrar = metade de 2 elevado aos bits ÷ velocidade. Três velocidades de referência: 100 tentativas por segundo (ataque online, com limite), 10 mil por segundo (hash lento, como bcrypt) e 10 bilhões por segundo (hash rápido, como NTLM, em uma placa de vídeo).
O medidor tem quatro níveis: fraca (até 40 bits), razoável (40 a 60), forte (60 a 80) e muito forte (acima de 80). É estimativa, não garantia.
Seis regras que cabem em uma pequena ou média empresa e seguem a orientação atual do NIST (SP 800-63B):
Cinco palavras sorteadas resistem tanto quanto uma senha de 12 caracteres embaralhados e são mais fáceis de digitar e lembrar. A força vem do sorteio, não da palavra: uma frase escolhida por você não vale o mesmo.
Pode: a medição e o hash acontecem no seu navegador, e esta página não tem rastreador nem envio de formulário. Ainda assim, a senha de uma conta importante deve ficar só no gerenciador.
Cinco caracteres do hash SHA-1, que correspondem a centenas de senhas diferentes. Esse método é o k-anonymity do próprio serviço.
Porque a ferramenta não precisa. Conferir se um e-mail apareceu em vazamentos é outro serviço, que exige cadastro; aqui o assunto é a senha.
De uma lista de 2198 palavras comuns em português, sem acento, mantida pela Allcom. O sorteio é feito pelo gerador criptográfico do navegador.
Uma senha forte resolve uma parte. A Allcom pode estruturar o restante: contas individuais, autenticação adicional, regras de acesso e processo de entrada e saída de usuários.
Gerenciador para a equipe, verificação em duas etapas, bloqueio de tentativas e conferência de vazamentos nas contas da empresa. A Allcom implanta e mantém, com monitoramento e atuação imediata.