Mennyi idő alatt törhető fel a jelszó? (Ingyenes)

Egy jelszó feltörésének ideje három dologtól függ: hány lehetséges jelszó van (a hossztól és a karaktertípusoktól), milyen gyorsan tud a támadó találgatni, és egyáltalán véletlenszerű-e a jelszó. Egy véletlenszerű, 8 karakteres, csak kisbetűs jelszó, amelyet lassú hash-sel tárolnak, bérelt grafikus kártyákkal néhány hét alatt feltörhető; egy véletlenszerű, 16 karakteres, vegyes karakterekből álló jelszó feltöréséhez pedig tovább tartana, mint amióta az univerzum létezik. Az ingyenes jelszógenerátor a véletlenszerű, hosszú jelszavakat az eszközödön hozza létre.

Az interneten megosztott, színes táblázatok hasznosak, de feltevésekre épülnek. Ha ismered ezeket a feltevéseket, jobban látod, mi óvja valójában a fiókodat.

Mit jelent a „feltörés”?

Amikor regisztrálsz valahová, egy jó oldal nem a jelszavadat tárolja, hanem egy hash-t: annak összekevert ujjlenyomatát. Bejelentkezéskor az oldal hash-eli, amit beírtál, és összeveti az ujjlenyomatokat. Az ingyenes hash-generátor jól szemlélteti az elvet: ha a password123 szöveget beírod, az MD5 hash-e mindig 482c811da5d5b4bc6d497ffa98491e38, bárhol, bármelyik gépen.

Ha egy oldal adatbázisát ellopják, a támadók a hash-eket kapják meg, nem a jelszavakat. A feltörés azt jelenti, hogy jelszavakat találgatnak, minden tippet hash-elnek, és egyezést keresnek – offline, a hardverük sebességével. Egyetlen weboldal zárolása sem lassítja őket.

Ezért két dolog dönti el az időt:

1. A lehetőségek száma, amelyeket a támadónak esetleg végig kell próbálnia.
2. A találgatás sebessége, ami erősen függ attól, hogy az oldal milyen hash-eljárást használt.

A brute-force számítás

A lehetséges jelszavak száma a karakterkészlet méretének a hosszal vett hatványa.

Karakterkészlet	Karakterek
Csak számjegyek	10
Kisbetűk	26
Kis- + nagybetűk + számjegyek	62
Mind a négy típus a generátorunkban	85

Egy 8 karakteres, csak kisbetűs jelszóhoz 26^8, azaz körülbelül 209 milliárd lehetőség tartozik. Mind a 85 karakterrel 8 karakter körülbelül 2.7 × 10^15 lehetőséget ad. Minden további karakter a teljes számot a készlet méretével szorozza, ezért a hossz a legfontosabb.

A legfrissebb táblázat szerint

A Hive Systems 2026-os jelszótáblázata szerint 16 darab RTX 5090 grafikus kártyából álló farm, amely bcrypt-tel (szándékosan lassú hash, 10-es munkafaktorral) tárolt jelszavakat támadott, másodpercenként körülbelül 138,675 találgatást ért el. Ezzel a sebességgel 8 karakteres, csak kisbetűs jelszó feltöréséhez körülbelül két hét kell, a minden karaktertípust tartalmazó 8 karakteres jelszóhoz pedig körülbelül 132 év. Az idejük legrosszabb eset: akkor, ha a helyes jelszó az utolsó tipp.

Ugyanezzel a találgatási sebességgel és a generátorunk 85 karakteres készletével számolva a véletlenszerű jelszavak legrosszabb esetre számolt ideje:

Hossz	Csak kisbetűk (26)	Mind a négy típus (85)
6	körülbelül 37 perc	körülbelül 32 nap
8	körülbelül 17 nap	körülbelül 620 év
10	körülbelül 32 év	körülbelül 4.5 millió év
12	körülbelül 22,000 év	körülbelül 32 milliárd év
16	körülbelül 10 milliárd év	körülbelül 1.7 × 10^18 év

A mi 8 karakteres értékünk nem egyezik a Hive-éval, mert a táblázatok másként számolják a karakterkészlet méretét, a hash-beállításokat és a tippek számát; a lényeg ugyanaz. Átlagosan a helyes tipp a találgatások felénél jön, ezért tipikus esetben a fenti számok fele a várható.

Miért lehet a táblázat túl kedvező?

A táblázat kétféleképpen is a legjobb esetet feltételezi számodra.

Az oldal gyors hash-t használhat. A bcrypt-et lassúnak tervezték. A régi vagy gondatlan rendszerek gyors hash-eket használnak, mint az MD5 vagy a sima SHA-1, amelyeket egyetlen grafikus kártya másodpercenként milliárdszor is tesztelhet. Ezekkel szemben a fenti idők egymillió- vagy még nagyobb tényezővel csökkennek. Azt nem tudhatod, hogyan tárolja az oldal a jelszavadat, ezért a rosszabb esettel számolj. Az MD5 és SHA-256 összevetése elmagyarázza a különbséget.

A jelszavad nem biztos, hogy véletlenszerű. A brute force a leglassabb támadás. A valódi feltörés kiszivárgott jelszólistákkal, szótári szavakkal, nevekkel, dátumokkal és gyakori mintákkal kezdődik, mint például a Password123! (nagybetűvel kezdve, a végén számmal és szimbólummal). Az ilyen jelszót másodpercek alatt megtalálják, bármennyi karaktertípust is tartalmaz, mert a támadók ezeket a mintákat próbálják először.

Lehet, hogy már kiszivárgott. Ha egy jelszót több helyen használsz, és valamelyik oldal adatai kiszivárognak, a támadóknak nem kell semmit feltörniük. Egyszerűen kipróbálják ugyanazt az e-mail-cím és jelszó párost más oldalakon.

Mi valóban megvéd?

• Hossz és véletlenszerűség. A 16 vagy több karakterből álló véletlenszerű jelszó minden reális támadónál túl van a brute force határán. Az NIST SP 800-63B (4. revízió, 2025) szerint az önmagában jelszóra támaszkodó szolgáltatásoknak legalább 15 karaktert kell megkövetelniük, és nem kellene összetettségi szabályokat vagy rendszeres jelszócserét előírniuk.
• Minden oldalhoz egyedi jelszó. Ez teljesen kivédi az újrafelhasználásos támadásokat.
• Jelszókezelő. Több tucat hosszú, véletlenszerű jelszót jegyez meg helyetted, így a hossz nem jelent extra terhet.
• Kétfaktoros hitelesítés. Még ha a jelszót fel is törik, a támadónak kell a telefonod vagy a biztonsági kulcsod is. Először az e-mailnél, a banknál és a közösségi fiókoknál érdemes bekapcsolni.

Ha olyan jelszóra van szükséged, amit meg tudsz jegyezni és be tudsz gépelni – például a jelszókezelőd főjelszavára –, jó megoldás a véletlenszerű szavakból álló, hosszú jelmondat. Lásd: jelmondat vagy jelszó.

Készíts olyat, amit nem törnek fel

Nyisd meg az ingyenes jelszógenerátort, állítsd a Hossz értékét 16-ra vagy többre (az alapérték 20), hagyd bejelölve a Kisbetűk, Nagybetűk, Számok és Szimbólumok opciókat, majd a Generálás gombbal hozz létre egy jelszót, és a Másolás gombbal másold ki. A jelszó az eszközödön jön létre, és sehova sem küldi el. A beállításokról bővebben: hogyan hozz létre erős jelszót.