Скільки часу потрібно, щоб зламати пароль? (Генератор)

Час, потрібний на злам пароля, залежить від трьох речей: скільки можливих паролів існує (довжина й типи символів), як швидко зловмисник перевіряє здогади і чи взагалі пароль випадковий. Випадковий 8-символьний пароль із малих літер, збережений за допомогою повільного хешу, можна зламати за пару тижнів на орендованих відеокартах; випадковий 16-символьний пароль із різних типів символів потребував би більше часу, ніж існує Всесвіт. Безкоштовний генератор паролів створює на вашому пристрої довгі випадкові паролі.

Відомі кольорові таблиці, якими діляться в інтернеті, корисні, але вони спираються на припущення. Знання цих припущень показує, що насправді береже обліковий запис.

Що насправді означає «злам»

Коли ви реєструєтесь десь, добре налаштований сайт не зберігає ваш пароль. Він зберігає хеш: зашифрований відбиток пароля. Коли ви входите, сайт обчислює хеш того, що ви ввели, і порівнює відбитки. Безкоштовний генератор хешів показує цю ідею: введіть password123, і його хеш MD5 буде 482c811da5d5b4bc6d497ffa98491e38 щоразу, на будь-якому комп'ютері.

Якщо базу даних сайту викрадено, зловмисники отримують хеші, а не самі паролі. Злам означає підбір паролів: хешування кожного варіанта і перевірка на збіг офлайн, так швидко, як дозволяє їхнє обладнання. Жодне блокування на сайті їх не сповільнює.

Тому час визначають дві речі:

1. Кількість можливостей, які зловмиснику, можливо, доведеться перебрати.
2. Швидкість підбору, яка сильно залежить від методу хешування, який використав сайт.

Математика повного перебору

Кількість можливих паролів дорівнює розміру набору символів, піднесеному до степеня довжини.

Набір символів	Символи
Лише цифри	10
Малі літери	26
Малі + великі літери + цифри	62
Усі чотири типи в нашому генераторі	85

Для 8-символьного пароля з малих літер є 26^8, приблизно 209 мільярдів, варіантів. Із усіма 85 символами 8 символів дають приблизно 2.7 × 10^15. Кожен додатковий символ множить загальну кількість на розмір набору, тому довжина важливіша за все інше.

Що показує найновіша таблиця

За таблицею паролів Hive Systems за 2026 рік, парк із 16 відеокарт RTX 5090, що атакували паролі, збережені через bcrypt (навмисно повільний хеш із коефіцієнтом роботи 10), здійснював приблизно 138,675 здогадів за секунду. За цієї швидкості вони оцінюють, що 8-символьний пароль із малих літер зламують приблизно два тижні, а 8-символьний пароль з усіма типами символів — приблизно 132 роки. Їхній час — це найгірші випадки, коли правильний пароль є останнім здогадом.

Використовуючи ту саму швидкість підбору та набір із 85 символів нашого генератора, ось найгірший час, який ми розрахували для випадкових паролів:

Довжина	Лише малі літери (26)	Усі чотири типи (85)
6	близько 37 хвилин	близько 32 днів
8	близько 17 днів	близько 620 років
10	близько 32 років	близько 4.5 мільйона років
12	близько 22,000 років	близько 32 мільярдів років
16	близько 10 мільярдів років	близько 1.7 × 10^18 років

Наша цифра для 8 символів не збігається з цифрою Hive, бо таблиці відрізняються розміром набору символів, налаштуваннями хешу та способом підрахунку здогадів; суть однакова. У середньому правильний здогад трапляється приблизно на половині перебору, тож для типового випадку поділіть ці числа навпіл.

Чому таблиця може бути надто оптимістичною

Таблиця виходить з найкращого для вас сценарію у двох аспектах.

Сайт може використовувати швидкий хеш. bcrypt створено так, щоб він був повільним. Старі або недбалі системи використовують швидкі хеші, як-от MD5 чи звичайний SHA-1, які однієї відеокарти можуть перевіряти мільярди разів за секунду. Проти них наведені вище часи скорочуються у мільйон і більше разів. Ви не можете знати, як сайт зберігає ваш пароль, тож припускайте найгірший варіант. У посібнику MD5 чи SHA-256 пояснюється різниця.

Ваш пароль може бути не випадковим. Повний перебір — найповільніша атака. Справжній злам починається зі списків витеклих паролів, слів зі словника, імен, дат і поширених шаблонів на кшталт Password123! (велика літера на початку, цифра та символ у кінці). Пароль, побудований так, знаходять за секунди, незалежно від того, скільки типів символів він містить, бо зловмисники спершу перевіряють такі шаблони.

Його могли вже витекти. Якщо ви використовуєте один пароль повторно і будь-який сайт, де ви його застосовували, зазнав зламу, зловмисникам нічого не треба ламати. Вони просто пробують ту саму електронну адресу і пароль на інших сайтах.

Що справді береже вас

• Довжина і випадковість. Випадковий пароль із 16 і більше символів недосяжний для реалістичного зловмисника методом перебору. За NIST SP 800-63B (редакція 4, 2025), сервіси, які покладаються лише на пароль, мають вимагати щонайменше 15 символів і не повинні накладати правила складності чи регулярної зміни.
• Унікальний пароль для кожного сайту. Це повністю знімає загрозу повторного використання.
• Менеджер паролів. Він запам'ятовує десятки довгих випадкових паролів, тож вам не треба. Тоді довжина вам нічого не коштує.
• Двофакторна автентифікація. Навіть якщо пароль зламали, зловмиснику все одно потрібні ваш телефон або ключ безпеки. Увімкніть її насамперед для пошти, банку та соцмереж.

Якщо потрібен пароль, який ви можете запам'ятати та ввести, наприклад головний пароль менеджера паролів, добре підійде довга парольна фраза з випадкових слів. Див. парольна фраза чи пароль.

Створіть пароль, який не зламають

Відкрийте безкоштовний генератор паролів, встановіть Довжина 16 або більше (спочатку стоїть 20), залиште позначки Малі літери, Великі літери, Цифри і Символи, натисніть Згенерувати, а потім Копіювати. Пароль створюється на вашому пристрої і нікуди не надсилається. Більше про налаштування — у статті як створити надійний пароль.