כמה זמן לוקח לפצח סיסמה? (מחולל חינמי)
זמן הפיצוח תלוי באורך הסיסמה, בסוגי התווים ובאופן שבו האתר שמר אותה. החישוב של כוח גס, מה אומרות הטבלאות העדכניות ומחולל סיסמאות חינמי.
פורסם ב- · זמן קריאה: 4 min
כמה זמן לוקח לפצח סיסמה תלוי בשלושה דברים: כמה סיסמאות אפשריות יש (האורך וסוגי התווים), כמה מהר תוקף יכול לבדוק ניחושים, והאם הסיסמה בכלל אקראית. סיסמה אקראית באורך 8 תווים, באותיות קטנות בלבד, שנשמרה בעזרת גיבוב איטי, יכולה להישבר תוך כמה שבועות על כרטיסי מסך שכורים. סיסמה אקראית באורך 16 תווים עם תווים מעורבים תארך יותר מגיל היקום. מחולל הסיסמאות החינמי יוצר את הסיסמאות הארוכות והאקראיות האלה על המכשיר שלכם.
הטבלאות הצבעוניות שמשתפים באינטרנט מועילות, אבל הן נשענות על הנחות. כשמכירים את ההנחות האלה, רואים מה באמת מגן על החשבון.
מה זה באמת "פיצוח"
כשנרשמים לאתר, אתר מנוהל היטב לא שומר את הסיסמה שלכם. הוא שומר ערך גיבוב שלה: "טביעת אצבע" מעורבלת שלה. כשנכנסים, האתר מגבב את מה שהקלדתם ומשווה בין טביעות האצבע. מחולל ערכי הגיבוב החינמי מראה את הרעיון: אם מקלידים password123, ערך ה-MD5 שלה הוא 482c811da5d5b4bc6d497ffa98491e38, בכל פעם ובכל מחשב.
אם מסד הנתונים של אתר נגנב, התוקפים מקבלים את ערכי הגיבוב ולא את הסיסמאות. פיצוח פירושו לנחש סיסמאות, לגבב כל ניחוש ולבדוק התאמה, במצב לא מקוון ובמהירות שהחומרה שלהם מאפשרת. שום נעילה של האתר לא מאטה אותם.
לכן שני דברים קובעים את הזמן:
- מספר האפשרויות שהתוקף עלול להצטרך לנסות.
- מהירות הניחוש, שתלויה מאוד בשיטת הגיבוב שהאתר השתמש בה.
חישוב הכוח הגס
מספר הסיסמאות האפשריות הוא גודל קבוצת התווים בחזקת האורך.
| קבוצת תווים | תווים |
|---|---|
| ספרות בלבד | 10 |
| אותיות קטנות | 26 |
| אותיות קטנות + גדולות + ספרות | 62 |
| כל ארבעת הסוגים במחולל שלנו | 85 |
סיסמה של 8 תווים, באותיות קטנות בלבד, יש לה 26^8, כ-209 מיליארד, אפשרויות. עם כל 85 התווים, 8 תווים נותנים כ-2.7 × 10^15. כל תו נוסף מכפיל את הסך בגודל הקבוצה, וזו הסיבה שהאורך חשוב יותר מכל דבר אחר.
מה אומרת הטבלה העדכנית
לפי טבלת הסיסמאות של Hive Systems לשנת 2026, צי של 16 כרטיסי RTX 5090 שתקף סיסמאות השמורות ב-bcrypt (גיבוב איטי בכוונה, עם פקטור עבודה 10) הגיע לכ-138,675 ניחושים בשנייה. בקצב הזה הם מעריכים שסיסמה של 8 אותיות קטנות נשברת תוך כשבועיים, וסיסמה של 8 תווים עם כל סוגי התווים תוך כ-132 שנים. הזמנים שלהם הם מקרה הגרוע ביותר, שבו הסיסמה הנכונה היא הניחוש האחרון.
באמצעות אותה מהירות ניחוש ואת קבוצת 85 התווים של המחולל, זה זמן המקרה הגרוע ביותר שחישבנו לסיסמאות אקראיות:
| אורך | אותיות קטנות בלבד (26) | כל ארבעת הסוגים (85) |
|---|---|---|
| 6 | כ-37 דקות | כ-32 ימים |
| 8 | כ-17 ימים | כ-620 שנים |
| 10 | כ-32 שנים | כ-4.5 מיליון שנים |
| 12 | כ-22,000 שנים | כ-32 מיליארד שנים |
| 16 | כ-10 מיליארד שנים | כ-1.7 × 10^18 שנים |
הנתון שלנו ל-8 תווים לא תואם לזה של Hive, כי לטבלאות יש גדלי קבוצות תווים שונים, הגדרות גיבוב שונות ודרכי ספירה שונות של ניחושים. הרעיון זהה. בממוצע, הניחוש הנכון מגיע בערך באמצע, לכן חלקו את המספרים בשניים למקרה טיפוסי.
למה הטבלה יכולה להיות מחמיאה מדי
הטבלה מניחה את המצב הטוב ביותר עבורכם בשתי דרכים.
האתר עלול להשתמש בגיבוב מהיר. bcrypt נבנה כדי להיות איטי. מערכות ישנות או לא זהירות משתמשות בגיבובים מהירים כמו MD5 או SHA-1 פשוט, שכרטיס מסך אחד יכול לבדוק בהם מיליארדי פעמים בשנייה. מול אלה, הזמנים שלמעלה מתקצרים פי מיליון או יותר. אי אפשר לדעת איך אתר שומר את הסיסמה שלכם, לכן כדאי להניח את המקרה הגרוע. המדריך MD5 מול SHA-256 מסביר את ההבדל.
הסיסמה שלכם עלולה לא להיות אקראית. כוח גס הוא ההתקפה האיטית ביותר. פיצוח אמיתי מתחיל ברשימות של סיסמאות שדלפו, מילים מהמילון, שמות, תאריכים ודפוסים נפוצים כמו Password123! (אות גדולה בהתחלה, מספר וסמל בסוף). סיסמה שנבנתה כך נמצאת תוך שניות, לא משנה כמה סוגי תווים יש בה, כי התוקפים מנסים את הדפוסים האלה קודם.
היא עלולה כבר להיות מודלפת. אם אתם משתמשים באותה סיסמה בכמה אתרים, ואחד מהם נפרץ, התוקפים לא צריכים לפצח כלום. הם פשוט מנסים את אותו אימייל וסיסמה באתרים אחרים.
מה באמת שומר עליכם
- אורך ואקראיות. סיסמה אקראית של 16 תווים ומעלה חסינה מפני כוח גס לכל תוקף ריאליסטי. לפי NIST SP 800-63B (גרסה 4, 2025), שירותים שמסתמכים על סיסמה בלבד צריכים לדרוש לפחות 15 תווים, ואינם צריכים לכפות כללי הרכב או החלפה קבועה.
- סיסמה ייחודית לכל אתר. זה מונע לחלוטין התקפות של שימוש חוזר.
- מנהל סיסמאות. הוא זוכר עשרות סיסמאות ארוכות ואקראיות כדי שלא תצטרכו. אז האורך לא עולה לכם דבר.
- אימות דו-שלבי. גם אם סיסמה נפרצה, התוקף עדיין צריך את הטלפון או מפתח האבטחה שלכם. הפעילו אותו קודם כל לאימייל, לבנק ולחשבונות חברתיים.
אם אתם צריכים סיסמה שאתם יכולים לזכור ולהקליד, כמו הסיסמה הראשית של מנהל הסיסמאות, ביטוי סיסמה ארוך של מילים אקראיות מתאים. ראו ביטוי סיסמה מול סיסמה.
צרו סיסמה שלא תיפרץ
פתחו את מחולל הסיסמאות החינמי, הגדירו את אורך ל-16 ומעלה (הוא מתחיל מ-20), השאירו מסומנים אותיות קטנות, אותיות גדולות, מספרים ו-סמלים, לחצו על ליצור ואז על להעתיק. הסיסמה נוצרת על המכשיר שלכם ולא נשלחת לשום מקום. למידע נוסף על ההגדרות, ראו איך ליצור סיסמה חזקה.
שאלות נפוצות
- כמה זמן לוקח לפצח סיסמה של 8 תווים?
- זה תלוי בתווים ובאופן שבו הסיסמה נשמרה. לפי טבלת Hive Systems לשנת 2026, כשבועיים לאותיות קטנות אקראיות וכ-132 שנים עם כל סוגי התווים, מול bcrypt. מול גיבוב מהיר כמו MD5, שניהם הרבה יותר מהירים.
- האם סיסמה של 12 תווים חזקה מספיק?
- סיסמה אקראית של 12 תווים עם כל סוגי התווים היא מחוץ לטווח של כוח גס. לחשבונות חשובים, 16 תווים ומעלה עדיין ברירת מחדל טובה יותר, כי זה לא עולה כלום עם מנהל סיסמאות.
- האם סמלים הופכים סיסמה לחזקה יותר?
- הם עוזרים מעט לכל תו, אבל הוספת אורך עוזרת יותר. סיסמה אקראית של 16 תווים ללא סמלים חזקה יותר מסיסמה אקראית של 10 תווים עם סמלים.
- האם האקרים יכולים לפצח כל סיסמה בסופו של דבר?
- בתיאוריה, כן; בפועל, סיסמה אקראית של 16 תווים תארך הרבה יותר מכל זמן שתוקף יכול לחכות. סיסמאות חלשות, נפוצות או כאלה ששימשו שוב ושוב הן אלה שנופלות מהר.
- האם בטוח לבדוק את חוזק הסיסמה שלי באתר?
- אל תקלידו סיסמה אמיתית לבודקי חוזק מקוונים. צרו במקום זה סיסמה חדשה ואקראית; המחולל שלנו יוצר אותה על המכשיר שלכם.
מחוללים
נסו את מחולל סיסמאות
חינם, בלי הרשמה, עובד בדפדפן. יוצרים סיסמה חזקה ואקראית בלחיצה אחת: בוחרים אורך בין 8 ל-128 תווים ואילו סוגי תווים להשתמש בהם, ואז מעתיקים.