Πόσο παίρνει να σπάσει ένας κωδικός; (Δωρεάν γεννήτρια)

Ο χρόνος που χρειάζεται για να σπάσει ένας κωδικός εξαρτάται από τρία πράγματα: από το πόσοι πιθανοί κωδικοί υπάρχουν (μήκος και τύποι χαρακτήρων), από το πόσο γρήγορα μπορεί ένας επιτιθέμενος να δοκιμάσει εικασίες, και από το αν ο κωδικός είναι καθόλου τυχαίος. Ένας τυχαίος κωδικός 8 πεζών χαρακτήρων, αποθηκευμένος με αργό hash, μπορεί να πέσει σε δύο εβδομάδες με ενοικιασμένες κάρτες γραφικών. Ένας τυχαίος κωδικός 16 χαρακτήρων με μικτούς χαρακτήρες θα χρειαζόταν περισσότερο από την ηλικία του σύμπαντος. Η δωρεάν γεννήτρια κωδικών φτιάχνει τον τυχαίο και μακρύ τύπο στη συσκευή σου.

Οι διάσημοι έγχρωμοι πίνακες που μοιράζονται στο διαδίκτυο είναι χρήσιμοι, αλλά βασίζονται σε υποθέσεις. Αν ξέρεις ποιες είναι αυτές, καταλαβαίνεις τι πραγματικά προστατεύει έναν λογαριασμό.

Τι σημαίνει πραγματικά «σπάσιμο»

Όταν εγγράφεσαι κάπου, ένας καλά διαχειριζόμενος ιστότοπος δεν αποθηκεύει τον κωδικό σου. Αποθηκεύει ένα hash: ένα ανακατεμένο αποτύπωμά του. Όταν συνδέεσαι, ο ιστότοπος κάνει hash ό,τι πληκτρολογείς και συγκρίνει τα αποτυπώματα. Η δωρεάν γεννήτρια hash δείχνει την ιδέα: αν πληκτρολογήσεις password123, το MD5 hash του είναι 482c811da5d5b4bc6d497ffa98491e38, κάθε φορά, σε κάθε υπολογιστή.

Αν κλαπεί η βάση δεδομένων ενός ιστότοπου, οι επιτιθέμενοι παίρνουν τα hash, όχι τους κωδικούς. Το σπάσιμο σημαίνει να μαντεύεις κωδικούς, να κάνεις hash κάθε εικασία και να ελέγχεις για ταύτιση, εκτός σύνδεσης, όσο γρήγορα επιτρέπει το υλικό τους. Κανένας περιορισμός προσπαθειών στον ιστότοπο δεν τους σταματά.

Γι' αυτό δύο πράγματα καθορίζουν τον χρόνο:

1. Το πλήθος των πιθανοτήτων που μπορεί να χρειαστεί να δοκιμάσει ο επιτιθέμενος.
2. Η ταχύτητα μαντέματος, που εξαρτάται πολύ από τη μέθοδο hash που χρησιμοποίησε ο ιστότοπος.

Οι υπολογισμοί της εξαντλητικής δοκιμής

Το πλήθος των πιθανών κωδικών είναι το μέγεθος του συνόλου χαρακτήρων υψωμένο στη δύναμη του μήκους.

Σύνολο χαρακτήρων	Χαρακτήρες
Μόνο ψηφία	10
Πεζά γράμματα	26
Πεζά + κεφαλαία + ψηφία	62
Και οι τέσσερις τύποι στη γεννήτριά μας	85

Ένας κωδικός 8 πεζών χαρακτήρων έχει 26^8, περίπου 209 δισεκατομμύρια, πιθανότητες. Με και τους 85 χαρακτήρες, οι 8 χαρακτήρες δίνουν περίπου 2.7 × 10^15. Κάθε επιπλέον χαρακτήρας πολλαπλασιάζει το σύνολο με το μέγεθος του συνόλου, γι' αυτό το μήκος νικά όλα τα υπόλοιπα.

Τι λέει ο πιο πρόσφατος πίνακας

Σύμφωνα με τον πίνακα κωδικών της Hive Systems για το 2026, ένα σμήνος από 16 κάρτες γραφικών RTX 5090 που επιτίθεται σε κωδικούς αποθηκευμένους με bcrypt (ένα σκόπιμα αργό hash, με παράγοντα εργασίας 10) έκανε περίπου 138,675 εικασίες το δευτερόλεπτο. Με αυτόν τον ρυθμό, εκτιμούν ότι ένας κωδικός 8 πεζών χαρακτήρων σπάει σε περίπου δύο εβδομάδες, και ένας κωδικός 8 χαρακτήρων με όλους τους τύπους σε περίπου 132 χρόνια. Οι χρόνοι τους είναι χειρότερο σενάριο, όπου ο σωστός κωδικός είναι η τελευταία εικασία.

Με την ίδια ταχύτητα μαντέματος και το σύνολο 85 χαρακτήρων της γεννήτριας, εδώ είναι ο χειρότερος χρόνος που υπολογίζουμε για τυχαίους κωδικούς:

Μήκος	Μόνο πεζά (26)	Και οι τέσσερις τύποι (85)
6	περίπου 37 λεπτά	περίπου 32 μέρες
8	περίπου 17 μέρες	περίπου 620 χρόνια
10	περίπου 32 χρόνια	περίπου 4.5 εκατομμύρια χρόνια
12	περίπου 22,000 χρόνια	περίπου 32 δισεκατομμύρια χρόνια
16	περίπου 10 δισεκατομμύρια χρόνια	περίπου 1.7 × 10^18 χρόνια

Ο αριθμός μας για τους 8 χαρακτήρες δεν ταιριάζει με του Hive επειδή οι πίνακες διαφέρουν στο μέγεθος του συνόλου χαρακτήρων, στις ρυθμίσεις hash και στο πώς μετρούν τις εικασίες. Το νόημα είναι το ίδιο. Κατά μέσο όρο, η σωστή εικασία έρχεται περίπου στη μέση, γι' αυτό μείωσε αυτούς τους αριθμούς στο μισό για μια τυπική περίπτωση.

Γιατί ο πίνακας μπορεί να είναι πολύ επιεικής

Ο πίνακας υποθέτει για σένα τη βέλτιστη περίπτωση με δύο τρόπους.

Ο ιστότοπος μπορεί να χρησιμοποιεί γρήγορο hash. Το bcrypt είναι φτιαγμένο να είναι αργό. Τα παλιά ή αμελή συστήματα χρησιμοποιούν γρήγορα hash όπως το MD5 ή το απλό SHA-1, που μία κάρτα γραφικών μπορεί να δοκιμάσει δισεκατομμύρια φορές το δευτερόλεπτο. Απέναντί τους, οι χρόνοι παραπάνω μικραίνουν κατά έναν παράγοντα ενός εκατομμυρίου ή περισσότερο. Δεν μπορείς να δεις πώς αποθηκεύει ο ιστότοπος τον κωδικό σου, οπότε υπόθεσε το χειρότερο. Ο οδηγός για το MD5 έναντι SHA-256 εξηγεί τη διαφορά.

Ο κωδικός σου μπορεί να μην είναι τυχαίος. Η εξαντλητική δοκιμή είναι η πιο αργή επίθεση. Το πραγματικό σπάσιμο ξεκινά από λίστες διαρρεύσεων κωδικών, λέξεις λεξικού, ονόματα, ημερομηνίες και κοινά μοτίβα όπως το Password123! (κεφαλαίο στην αρχή, αριθμός και σύμβολο στο τέλος). Ένας κωδικός φτιαγμένος έτσι βρίσκεται σε δευτερόλεπτα, όσους τύπους χαρακτήρων κι αν έχει, γιατί οι επιτιθέμενοι δοκιμάζουν πρώτα αυτά τα μοτίβα.

Μπορεί να έχει ήδη διαρρεύσει. Αν επαναχρησιμοποιείς έναν κωδικό και κάποιος ιστότοπος όπου τον χρησιμοποίησες παραβιαστεί, οι επιτιθέμενοι δεν χρειάζεται να σπάσουν τίποτα. Απλώς δοκιμάζουν το ίδιο email και κωδικό σε άλλους ιστότοπους.

Τι σε προστατεύει πραγματικά

• Μήκος και τυχαιότητα. Ένας τυχαίος κωδικός 16 χαρακτήρων ή περισσότερων είναι πέρα από την εξαντλητική δοκιμή για κάθε ρεαλιστικό επιτιθέμενο. Σύμφωνα με το NIST SP 800-63B (αναθεώρηση 4, 2025), οι υπηρεσίες που βασίζονται μόνο σε κωδικό πρέπει να ζητούν τουλάχιστον 15 χαρακτήρες, και δεν πρέπει να επιβάλλουν κανόνες σύνθεσης ή υποχρεωτικές αλλαγές.
• Ένας μοναδικός κωδικός για κάθε ιστότοπο. Αυτό εξουδετερώνει πλήρως τις επιθέσεις επαναχρησιμοποίησης.
• Διαχειριστής κωδικών. Θυμάται δεκάδες μακριούς τυχαίους κωδικούς για σένα. Έτσι το μήκος δεν σου κοστίζει τίποτα.
• Επαλήθευση δύο παραγόντων. Ακόμα κι αν σπάσουν έναν κωδικό, ο επιτιθέμενος χρειάζεται ακόμα το τηλέφωνό σου ή το κλειδί ασφαλείας σου. Ενεργοποίησέ την πρώτα για το email, τις τράπεζες και τους λογαριασμούς κοινωνικής δικτύωσης.

Αν χρειάζεσαι κωδικό που μπορείς να θυμηθείς και να πληκτρολογήσεις, όπως τον κύριο κωδικό του διαχειριστή κωδικών σου, μια μακριά φράση-κωδικός από τυχαίες λέξεις είναι καλή επιλογή. Δες φράση-κωδικός έναντι κωδικού.

Φτιάξε έναν που δεν θα σπάσει

Άνοιξε την δωρεάν γεννήτρια κωδικών, όρισε το Μήκος σε 16 ή περισσότερο (ξεκινά από το 20), άφησε ενεργά τα Πεζά, Κεφαλαία, Αριθμοί και Σύμβολα, πάτα Δημιούργησε και μετά Αντίγραψε. Ο κωδικός δημιουργείται στη συσκευή σου και δεν στέλνεται πουθενά. Για περισσότερα για τις ρυθμίσεις, δες πώς δημιουργείς έναν δυνατό κωδικό.